Уязвимости PaperCut теперь активно используются в атаках. Как сообщает GreyNoise, хакеры задействовали ИИ для создания, тестирования и развертывания эксплойтов в отношении сотен организаций по всему миру. Уязвимости безопасности отслеживаются как CVE-2026-82078 и CVE-2026-81578, были выявлены 27 августа как O-day и исправлены на следующий день. Они позволяют удаленным неаутентифицированным злоумышленникам обходить аутентификацию и выполнять произвольный код на уязвимых экземплярах PaperCut NG/MF. Несколько дней спустя в WatchTowr предупредили, что активность вокруг двух уязвимостей значительно усилилась. Предполагалось, что за эксплуатацией, скорее всего, стоят брокеры первичного доступа. На этой неделе GreyNoise, сообщила, что злоумышленник использовал ИИ для создания, тестирования и развертывания эксплойтов против 440 развертываний PaperCut NG/MF. Злоумышленник атаковал уязвимые экземпляры PaperCut в 395 организациях в 48 странах с целью удаленного выполнения кода (RCE) и сбора учетных данных. Есть и другие реальные жертвы, которых невозможно отнести к какой-либо конкретной организации. Противник целенаправленно пытался избежать нападок на организации в 28 идентифицированных странах, однако, как показывает статистика, попытки сдерживания в некоторых случаях не была должным образом реализована. Применение ИИ для организации кампании позволило злоумышленнику скомпрометировать некоторые среды за считанные минуты и даже секунды. Успех злоумышленника был неравномерным во всех инцидентах: доступ к управлению доменом удалось получить лишь в 12 пострадавших организациях. Пока неясно, сосредоточен ли этот злоумышленник исключительно на получении доступа для последующей передачи другим связанным с ним субъектам, или же он будет напрямую использовать свой доступ для достижения последующих целей. Исследователи выявили три пути атаки в ходе кампании: сбор секретов памяти и реестра процесса LSASS с хостов, являющихся членами домена, проведение атак NoPac против незащищенных экземпляров и добавление новой учетной записи в группу Domain Admins, если хост являлся контроллером домена. По данным GreyNoise, злоумышленники совершили кражу учетных данных на 280 скомпрометированных хостах, похитили секретные данные со 137 из них и получили права администратора домена в 12 случаях. Из 440 скомпрометированных развертываний 204 принадлежали организациям из сектора образования. Пострадали также десятки организаций из секторов розничной торговли/услуг, недвижимости/гостиничного бизнеса, ИТ/MSP, некоммерческих организаций и производства/коммунальных услуг.