Un solo hacker e centinaia di agenti IA: 11 organizzazioni violate in 26 secondi

La campagna segnalata in Italia da Red Hot Cyber nasce da un’indagine molto più ampia: il 9 settembre 2026, GreyNoise ha pubblicato la ricostruzione di una campagna contro PaperCut NG/MF in cui un singolo operatore avrebbe orchestrato centinaia di agenti IA per sviluppare, testare e usare exploit contro due vulnerabilità appena emerse. Il dato che cambia la scala del problema non è soltanto il numero di vittime, ma la velocità: una volta partita la fase automatizzata, almeno 11 organizzazioni sono state compromesse in 26 secondi.

Il bersaglio era PaperCut NG/MF, software di gestione della stampa usato in scuole, università, enti pubblici e aziende. Le falle sono CVE-2026-81578 e CVE-2026-82078, una catena che consente di passare da accesso non autenticato a esecuzione di codice sul server applicativo. PaperCut ha confermato incidenti reali nei clienti e il 10 settembre 2026 ha indicato le versioni di manutenzione 26.0.5, 25.0.13 e 24.1.10 come release raccomandate, sostitutive delle patch d’emergenza.

La cronologia: dal primo allarme alla campagna IA

La prima segnalazione pubblica non nasce dall’IA, ma da un incidente reale. Chris Dance, cofondatore e amministratore delegato di PaperCut, ha scritto che alle 9:42 AEST del 27 agosto 2026 l’azienda ha ricevuto una segnalazione da un cliente del settore educativo il cui server PaperCut MF sembrava compromesso. Entro mezzogiorno il team aveva escluso l’ipotesi più semplice, cioè l’uso di una vecchia vulnerabilità già corretta, e ha trattato il caso come incidente P0, quindi al massimo livello di priorità.

Secondo Arctic Wolf, PaperCut ha gestito la crisi con una sequenza ravvicinata di correzioni: una prima patch d’emergenza il 27 agosto, una seconda il 28 agosto e una terza il 1 settembre 2026. La pressione è aumentata quando watchTowr ha osservato attività di sfruttamento sui propri honeypot e ha segnalato che una patch secondaria era aggirabile. Il 10 settembre, PaperCut ha poi consolidato le correzioni nelle release di manutenzione sottoposte a QA completo.

La campagna descritta da GreyNoise arriva subito dopo questa fase. L’azienda afferma di aver tracciato l’indirizzo 45.142.193[.]132 già dall’inizio di luglio per attività contro sistemi esposti di diversi fornitori, tra cui Palo Alto, Ubiquiti, Citrix, SonicWall e Proxmox VE. Il 31 agosto 2026 quella stessa infrastruttura si sarebbe spostata sulle due vulnerabilità PaperCut, usando un laboratorio privato con un server PaperCut vulnerabile e un ambiente Active Directory per provare l’exploit prima di lanciarlo su bersagli reali.

Scala della campagna PaperCutValori in unità

• Istanze compromesse440
• Organizzazioni identificate395
• Paesi coinvolti48
• Domain admin ottenuti12

Come sono stati usati gli agenti IA

Il passaggio più rilevante è l’architettura operativa. Secondo GreyNoise, l’attore ha usato centinaia di agenti IA basati su un harness OpenAI Codex abbinato a un modello DeepSeek, non a modelli OpenAI, insieme a strumenti offensivi pubblici. La lista riportata anche da The Hacker News include Mimikatz, SharpHound, Certipy, Rubeus e Impacket, cioè strumenti già noti ai team di sicurezza per furto credenziali, ricognizione e movimento laterale.

La parte IA non va letta come “un modello che inventa da solo una vulnerabilità”. Le due falle erano già state rese pubbliche dal vendor nella finestra dell’emergenza. Il punto è diverso: gli agenti avrebbero accelerato attività normalmente distribuite tra più operatori, come costruire liste di bersagli, riprodurre l’ambiente vulnerabile, generare varianti operative, testare risultati, raccogliere credenziali e spostarsi in parallelo su molte installazioni. In altre parole, l’IA sembra aver compresso la fase tra divulgazione, sviluppo dell’exploit e sfruttamento di massa.

GreyNoise scrive che l’attore è passato da uno spazio di lavoro vuoto alla prima esecuzione di codice su una vittima reale in meno di quattro ore, poi al primo accesso domain administrator in altre due ore. Nel caso più rapido, una scuola superiore statunitense è passata dall’accesso iniziale al pieno controllo di dominio in 7 minuti. La riuscita non è stata uniforme: Cyber Security News, riprendendo la ricerca, indica escalation riuscite tra 5 e 144 minuti e dominio amministratore confermato solo in 12 casi.

Velocità osservata negli attacchiValori in minuti

• Primo RCE sotto 4 ore240
• Primo domain admin aggiuntivo120
• High school USA7
• Compromissione 11 organizzazioni0,43
• Escalation minima5
• Escalation massima144

Le due vulnerabilità: perché la catena è critica

La catena tecnica è composta da due problemi distinti. Horizon3 descrive CVE-2026-81578 come un difetto di controllo accessi nell’interfaccia web di gestione: in certe condizioni, richieste remote non autenticate possono attivare funzioni amministrative prima che la validazione dell’accesso sia completata. CVE-2026-82078, invece, riguarda il caricamento dinamico non sicuro di classi nelle utilità di connessione al database, con possibilità di eseguire bytecode Java nel contesto del processo PaperCut.

Una spiegazione ancora più concreta arriva da SonicWall Capture Labs: combinate, le due vulnerabilità permettono a un attaccante remoto non autenticato di ottenere esecuzione di codice sull’Application Server. Le versioni interessate sono quelle precedenti a 24.1.10, 25.0.13 e 26.0.5. Il problema è aggravato dal fatto che molti server PaperCut sono integrati con directory aziendali e spesso gestiscono funzioni privilegiate in reti scolastiche o enterprise.

PaperCut ha indicato anche un dettaglio importante per gli amministratori: dopo l’aggiornamento, le organizzazioni che usano la funzione di lookup esterno per badge o ID utente devono rivedere la configurazione, perché l’azienda ha spostato e irrigidito parti della configurazione nel file security.properties. Le note di rilascio di PaperCut MF 25.0.13 precisano che la release include tutte le correzioni delle patch d’emergenza di agosto e ulteriori interventi di hardening.

Che cosa è stato osservato dopo la compromissione

Le attività post-compromissione raccontano il valore di un server di stampa in una rete moderna. The Hacker News, citando Arctic Wolf, riferisce l’uso di strumenti per raccogliere hive del registro Windows, payload Java collegati a Metasploit/Meterpreter e comandi per identificare host, utenti, processi e configurazioni sensibili. Non sono dettagli marginali: sono tipiche attività di preparazione al movimento laterale e alla raccolta di credenziali.

GreyNoise e le analisi riprese da Cyber Security News descrivono tre percorsi principali: raccolta di segreti da memoria LSASS e registro per attacchi pass-the-hash, sfruttamento di ambienti non aggiornati ancora vulnerabili alle falle noPac del 2021, e creazione diretta di account malevoli nei gruppi amministrativi quando PaperCut era in esecuzione su un controller di dominio. Nei casi di escalation riuscita, l’attore avrebbe eseguito operazioni DCSync per sottrarre il database credenziali NTDS.DIT.

Su attribuzione e obiettivi serve cautela. GreyNoise parla di attore “probabilmente russofono”, ma non identifica un gruppo noto. Blackpoint Cyber, attraverso le dichiarazioni del principal MDR analyst Nevan Beal riportate da The Hacker News, non conferma l’obiettivo finale della campagna: la metodologia è compatibile con attività di accesso iniziale, ma non basta a provare che si tratti di un initial access broker. La differenza è sostanziale: un conto è vendere accessi a terzi, un altro è preparare una fase successiva di spionaggio o estorsione.

Il ruolo di CISA e il confronto con gli attacchi agentici del 2025

Il 31 agosto 2026 la CISA ha inserito entrambe le vulnerabilità PaperCut nel catalogo Known Exploited Vulnerabilities, basandosi su evidenze di sfruttamento attivo. L’agenzia statunitense considera queste falle un rischio significativo per gli ambienti federali e incoraggia anche le organizzazioni private ad adottare il catalogo KEV come criterio di priorità per la gestione delle patch.

Il caso PaperCut arriva meno di un anno dopo un altro precedente importante. Nel novembre 2025, Anthropic ha descritto una campagna di cyberspionaggio in cui un gruppo ritenuto legato alla Cina avrebbe manipolato Claude Code per tentare infiltrazioni contro circa 30 bersagli nei settori tecnologia, finanza, chimica e governo. MITRE ATT&CK ha poi catalogato l’operazione come C0062, indicando ricognizione, scansione, raccolta automatizzata, creazione di account e accesso a database tra le tecniche osservate.

La differenza fra i due casi è utile per capire la traiettoria. La campagna Anthropic era descritta come operazione di spionaggio coordinata su un numero limitato di target ad alto valore. La campagna PaperCut è invece opportunistica, legata a una finestra di vulnerabilità su un software enterprise ampiamente esposto. In entrambi i casi, però, l’elemento nuovo è lo stesso: l’IA non è più soltanto un assistente che suggerisce comandi, ma una componente che può coordinare attività ripetitive, parallele e persistenti.

Che cosa devono fare aziende, scuole e PA italiane

Per le organizzazioni italiane non ci sono, nelle fonti pubbliche consultate, nomi di vittime attribuite con certezza. Questo non riduce l’urgenza. Chi gestisce PaperCut NG o PaperCut MF deve verificare subito la versione installata, aggiornare alle release 26.0.5, 25.0.13 o 24.1.10, e trattare come incidente ogni server rimasto esposto a Internet durante la finestra di sfruttamento. La raccomandazione di watchTowr è netta: se un’istanza PaperCut era esposta e non aggiornata negli ultimi giorni, bisogna presumere la compromissione fino a prova contraria.

La mitigazione non si esaurisce nella patch. Gli amministratori dovrebbero rimuovere l’accesso pubblico alle console di amministrazione, limitare l’interfaccia a VPN o reti di gestione, controllare modifiche anomale alla configurazione, verificare account locali e di dominio creati di recente, ruotare credenziali di servizio e analizzare i log per comandi di ricognizione o processi eseguiti dal servizio PaperCut. In ambienti scolastici e universitari, dove i server di stampa possono essere collegati a directory, badge, pagamenti e sistemi documentali, la bonifica deve coinvolgere anche identity management e backup.

Se dall’analisi emerge accesso non autorizzato a dati personali, entra in gioco anche il quadro privacy. Il Garante per la protezione dei dati personali ricorda che il titolare deve notificare una violazione senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne viene a conoscenza, salvo che sia improbabile un rischio per diritti e libertà delle persone. Se il rischio è elevato, va valutata anche la comunicazione agli interessati.

Il punto operativo per il mercato italiano è che le finestre “accettabili” di patching si stanno restringendo. Una vulnerabilità su un componente periferico, come un server di stampa, può diventare il varco verso Active Directory. Con agenti IA in parallelo, il tempo tra pubblicazione dell’advisory e tentativo reale non si misura più in settimane, ma in ore. Per MSP, scuole, comuni e aziende manifatturiere questo significa inventario continuo degli asset esposti, procedure di aggiornamento emergenziale e simulazioni periodiche di compromissione, non solo controllo mensile delle patch.

Domande e risposte

Che cosa è successo a PaperCut NG/MF il 31 agosto 2026?

Secondo GreyNoise, il 31 agosto 2026 un attore probabilmente russofono ha usato centinaia di agenti IA per sfruttare due vulnerabilità di PaperCut NG/MF. La campagna ha compromesso almeno 440 istanze riconducibili a 395 organizzazioni in 48 Paesi, con un picco di 11 organizzazioni violate in 26 secondi.

Quali versioni di PaperCut correggono CVE-2026-81578 e CVE-2026-82078?

PaperCut indica come release raccomandate 26.0.5, 25.0.13 e 24.1.10, pubblicate come versioni di manutenzione il 10 settembre 2026. Sostituiscono le tre patch d’emergenza uscite tra 27 agosto e 1 settembre e includono correzioni di sicurezza più ulteriori misure di hardening.

L’intelligenza artificiale ha scoperto da sola le vulnerabilità PaperCut?

Le fonti disponibili non mostrano che l’IA abbia scoperto autonomamente le falle. Le vulnerabilità erano già nel ciclo pubblico di advisory e patch. Il ruolo degli agenti IA, secondo GreyNoise, è stato accelerare sviluppo, test, selezione dei bersagli e sfruttamento parallelo, riducendo a poche ore attività che prima richiedevano più operatori e più tempo.

Cosa deve fare un’azienda italiana con un server PaperCut esposto?

Deve aggiornare subito a 26.0.5, 25.0.13 o 24.1.10, togliere l’interfaccia di amministrazione da Internet e avviare un controllo forense se il server era esposto prima della patch. Se risultano accessi a dati personali, va valutata la notifica al Garante entro 72 ore dalla conoscenza della violazione.

L'opinione di Francesco Giuliani

Io leggo questa vicenda come un avviso severo, ma anche come un’opportunità concreta per alzare il livello della difesa. Gli agenti IA stanno portando agli attaccanti una capacità industriale di esecuzione; la risposta non può essere più lenta, manuale e frammentata. Serve portare la stessa logica dalla parte dei difensori: inventari aggiornati, patching automatizzato, test continui, triage assistito dall’IA e playbook già pronti per gli asset esposti.

La buona notizia è che molte contromisure sono alla portata anche di scuole, enti locali e PMI: ridurre le superfici esposte, separare le console amministrative, controllare le identità privilegiate, raccogliere log utili e provare davvero gli scenari di compromissione. L’IA non rende impossibile difendersi. Rende più costoso rimandare. Chi trasforma questa pressione in disciplina operativa avrà reti più resilienti, team più rapidi e fornitori più responsabili.