Plusieurs centaines d’agents IA ont participé à une offensive mondiale contre PaperCut, durant laquelle au moins 11 organisations ont été compromises en quelques secondes seulement. Au total, les chercheurs ont identifié 395 victimes dans 48 pays.
Il n’aura fallu que quelques heures pour passer du développement des exploits aux premières intrusions réussies. Selon GreyNoise, un attaquant probablement russophone a mobilisé des centaines d’agents IA pour préparer une offensive contre PaperCut. Le 31 août, il fait une première victime avant d’étendre l’opération à l’échelle mondiale.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Deux failles PaperCut pour prendre pied dans les réseaux
Dans le détail, la campagne repose sur l’exploitation de CVE-2026-81578 et CVE-2026-82078, deux vulnérabilités divulguées fin août, affectant PaperCut NG et MF. L’attaquant a d’abord créé un laboratoire avec une version vulnérable du logiciel et un serveur Active Directory, puis testé ses exploits jusqu’à obtenir une exécution de code à distance et récupérer des identifiants.
En parallèle, il s’est servi de Netlas, un moteur de recherche spécialisé dans les systèmes exposés sur Internet, pour repérer les serveurs PaperCut accessibles en ligne. Le logiciel, utilisé pour gérer les impressions, les copies et les numérisations en entreprise, fonctionne souvent sur des serveurs Windows rattachés à Active Directory et s’exécute par défaut avec des droits très élevés. Une machine compromise pouvait donc lui permettre de progresser dans le réseau et d’atteindre des comptes plus privilégiés.
GreyNoise a finalement recensé au moins 440 instances PaperCut compromises au sein de 395 organisations réparties dans 48 pays. Des identifiants ont été récupérés sur 280 systèmes, et des secrets Windows ou Active Directory sur 147. Dans 12 cas, l’attaquant est allé jusqu’à obtenir les droits d’administrateur du domaine. L’éducation concentre près de la moitié des victimes, tandis que la France se classe au troisième rang des pays les plus concernés, à raison de 31 instances piratées.
Des centaines d’agents IA pour accélérer l’offensive
GreyNoise a aussi pu mesurer la vitesse à laquelle l’opération s’est déroulée. Parti de zéro, l’attaquant a compromis une première victime en moins de quatre heures, puis obtenu ses premiers droits d’administrateur du domaine deux heures plus tard. Une fois la campagne lancée à grande échelle, au moins 11 entreprises ont été touchées en seulement 26 secondes.
Pour atteindre ce rythme, le cybercriminel s’est appuyé sur plusieurs centaines d’agents IA orchestrés via l’environnement Codex et alimentés par un modèle DeepSeek. Ils ont participé au développement, aux tests et à l’exploitation des failles, permettant d’enchaîner beaucoup plus rapidement des tâches qui auraient autrement exigé davantage d’interventions humaines. Dans un lycée aux États-Unis, sept minutes ont ainsi suffi pour passer du premier accès aux droits Domain Admin. Parmi les 12 structures dans lesquelles l’attaquant est parvenu à ce niveau de privilège, GreyNoise a même relevé un délai minimal de cinq minutes.
L’attaquant n’a toutefois pas laissé les agents agir seuls. Il a continué à définir les objectifs, les contraintes et la suite donnée aux accès obtenus. Dans plusieurs organisations déjà compromises, aucune nouvelle action n’a ainsi été engagée pendant plusieurs jours, faute d’intervention de sa part. Bien que la campagne semble opportuniste, il avait également dressé une liste de 28 pays à épargner, consigne que ses agents n’ont pas toujours respectée.
L’opérateur reste donc indispensable, mais il peut désormais déléguer une part bien plus importante de l’exécution et intervenir seulement lorsque la campagne l’exige. Dans tous les cas, les entreprises équipées de PaperCut ont tout intérêt à installer sans attendre les correctifs publiés pour CVE-2026-81578 et CVE-2026-82078.
