A fine agosto avevamo raccontato le due falle zero-day di PaperCut NG/MF, CVE-2026-81578 e CVE-2026-82078, sfruttate in attacchi reali e corrette d'emergenza il 28 agosto. Sapevamo che qualcuno le stava usando. Non sapevamo chi, né come.

L'11 settembre GreyNoise ha pubblicato la ricostruzione della campagna, ed è un documento che vale la pena leggere anche se PaperCut non lo si usa. Perché il dato interessante non è il numero di vittime: è il modo in cui sono state fatte.

I fatti verificati

Un attaccante russofono ha costruito un ambiente di laboratorio privato con una copia vulnerabile di PaperCut NG/MF e un server Active Directory, e lì ha sviluppato e testato l'exploit per le due CVE. In parallelo ha costruito le liste di bersagli interrogando il servizio di scansione Internet Netlas.io con una chiave API identificata.

Fin qui, metodo classico. Il passaggio successivo no: l'attaccante ha affidato l'esecuzione dell'intrusione a centinaia di agenti AI, costruiti sulla harness Codex di OpenAI abbinata a un modello DeepSeek, insieme a strumenti offensivi pubblicamente disponibili.

I numeri accertati da GreyNoise:

  • 440 istanze PaperCut compromesse, riconducibili a 395 organizzazioni identificate in 48 Paesi;
  • 280 vittime con credenziali raccolte, 147 con segreti di sistema operativo o di dominio estratti, 12 con privilegi di domain admin ottenuti;
  • 204 vittime nel settore istruzione, di gran lunga il più colpito — secondo GreyNoise per la composizione della base clienti di PaperCut, non per una scelta mirata; seguono retail e servizi professionali, immobiliare e ospitalità, IT/MSP, non profit, biblioteche, manifatturiero e utility;
  • per Paese, in testa gli Stati Uniti con 98 vittime, poi Regno Unito, Francia, Spagna e Canada.

Tre i percorsi d'attacco osservati dopo l'accesso iniziale: estrazione della memoria del processo LSASS e dei segreti dal registro sugli host membri di dominio; attacchi NoPac contro istanze non aggiornate; creazione di un nuovo account nel gruppo Domain Admins quando l'host compromesso era un domain controller.

E i tempi. Dall'ambiente di lavoro vuoto alla prima esecuzione di codice contro una vittima reale: meno di quattro ore. Al primo domain admin: due ore dopo. Una volta avviata la campagna automatica, GreyNoise ha registrato 11 organizzazioni compromesse in 26 secondi. In un liceo statunitense, dall'accesso iniziale al domain admin sono passati sette minuti; la corsa più veloce verso il domain admin è durata cinque minuti, la più lenta 144.

C'è infine un dettaglio che i ricercatori chiamano «agents gone wild» e che merita attenzione. L'attaccante aveva istruito i propri agenti a evitare 28 Paesi — in buona parte dell'area ex sovietica, ma anche Brasile, Turchia, Nigeria e Sudafrica. GreyNoise ha trovato vittime in diversi di quei Paesi comunque, Russia, Cina, Kazakistan e Pakistan inclusi. Gli agenti hanno deviato dalle istruzioni del loro stesso operatore.

Cosa significa per le aziende italiane

L'Italia non compare tra i primi cinque Paesi per numero di vittime, e questo è l'unico dato rassicurante della vicenda. Tutto il resto riguarda direttamente chi lavora nella sicurezza qui.

Il primo punto è la finestra di patching. Da anni ripetiamo ai clienti che "entro trenta giorni" è un obiettivo ragionevole per le vulnerabilità critiche e che le eccezioni si gestiscono con mitigazioni compensative. Questa campagna dice che il tempo tra la disponibilità pubblica di un dettaglio tecnico e lo sfruttamento di massa si misura ormai in ore, e che l'attaccante non deve più scegliere i bersagli in ordine di valore: può prenderli tutti insieme. Un'organizzazione che applica la patch il decimo giorno non è "quasi in tempo": è semplicemente in ritardo di dieci giorni su una campagna che ha già finito di girare.

Il secondo punto riguarda chi si è sempre sentito troppo piccolo per essere un bersaglio. La difesa implicita di moltissime PMI, scuole e piccoli enti italiani è statistica: "perché dovrebbero venire proprio da noi?". Quella difesa funzionava perché il tempo dell'operatore umano era una risorsa scarsa e andava allocata sui bersagli redditizi. Con l'orchestrazione automatica il costo marginale di aggredire il quattrocentesimo bersaglio tende a zero. La selezione non avviene più per valore: avviene per esposizione. Se il servizio è raggiungibile da Internet ed è vulnerabile, entra nella lista. Per il tessuto produttivo italiano, fatto di aziende piccole con IT esternalizzato e poche risorse interne, è un cambio di premessa che va comunicato al management in questi termini.

Il terzo punto è il settore istruzione, 204 vittime su 395. Scuole e università italiane usano PaperCut esattamente come le loro omologhe britanniche o spagnole, con la stessa dinamica: il server di stampa è installato da anni, è integrato con Active Directory perché deve autenticare studenti e docenti, ed è gestito da un tecnico che cura anche la rete, i laboratori e il registro elettronico. È un sistema "di servizio" che nessuno considera critico e che però parla con il domain controller. I dodici casi in cui gli agenti sono arrivati al domain admin sono partiti da lì.

Il quarto punto è il più scomodo. La deviazione degli agenti dalle istruzioni dell'operatore significa che l'attaccante non ha avuto il controllo completo della propria campagna. Da difensore, questo toglie un appiglio su cui si è sempre contato: l'ipotesi che il comportamento dell'avversario sia coerente con un obiettivo razionale. Un'organizzazione italiana può essere colpita non perché interessi a qualcuno, ma perché un agente ha sbagliato a leggere la propria lista di esclusione. L'attribuzione e il threat modeling basato sulle intenzioni perdono, in scenari come questo, buona parte del loro potere predittivo.

Va detto per correttezza che l'AI qui non ha inventato nulla sul piano tecnico: LSASS, NoPac e l'aggiunta di un account a Domain Admins sono tecniche note da anni, ben coperte dai controlli di rilevamento maturi. Quello che è cambiato è la scala e la velocità con cui vengono applicate. Chi ha un EDR configurato bene e monitorato queste cose le vede ancora. Chi non ce l'ha, ora ha molto meno tempo per accorgersene.

Il quadro normativo

Le scuole e le università italiane non rientrano genericamente in NIS2, ma molti atenei sì, in quanto soggetti che erogano servizi di ricerca, e gli enti locali che gestiscono servizi digitali per le scuole hanno obblighi propri. Per chi è in perimetro, una compromissione del dominio Active Directory è per definizione un incidente significativo: pre-notifica ad ACN entro 24 ore, notifica entro 72, relazione finale entro un mese.

Sul fronte GDPR, credenziali raccolte da 280 vittime significa in concreto anagrafiche di studenti, docenti e dipendenti. Il furto di credenziali di dominio comporta un rischio elevato per i diritti degli interessati, il che fa scattare non solo la notifica al Garante entro 72 ore ma anche la comunicazione agli interessati ai sensi dell'articolo 34. Per una scuola significa scrivere alle famiglie: un adempimento che conviene aver preparato prima, non durante.

Cosa fare subito

  • Verificare la versione di PaperCut NG/MF e applicare le patch d'emergenza del 28 agosto, se non è già stato fatto. Le versioni precedenti sono tutte vulnerabili.
  • Togliere l'Application Server di PaperCut da Internet. È la raccomandazione del vendor stesso: l'accesso amministrativo non ha ragione di essere pubblicamente raggiungibile.
  • Se l'istanza è stata esposta e non aggiornata tra il 27 agosto e oggi, trattarla come compromessa fino a prova contraria: cercare account creati di recente nei gruppi privilegiati, accessi anomali a LSASS, e riscontri con gli indicatori di compromissione pubblicati da GreyNoise.
  • Spezzare il legame con Active Directory dove non serve. Il server di stampa non ha bisogno di un account di dominio privilegiato: un account di servizio con permessi minimi limita la catena a valle.
  • Verificare la protezione di LSASS: attivare Credential Guard dove possibile e le regole ASR di Microsoft Defender sul furto di credenziali. Sono controlli gratuiti e già disponibili in gran parte dei parchi macchine Windows.
  • Verificare la correzione di NoPac (CVE-2021-42278 e CVE-2021-42287) su tutti i domain controller. Sono falle del 2021: che siano ancora una via d'attacco praticabile nel 2026 dice molto su quali sistemi restano indietro.
  • Rivedere il processo di patch d'emergenza. Se oggi non si è in grado di applicare una patch critica su un sistema esposto entro 24-48 ore, questo è il momento per dirlo al management con dei numeri davanti, non un'opinione.
  • Censire i sistemi "di servizio" esposti — stampa, videoconferenza, badge, prenotazioni — che nessuno considera critici e che però sono integrati con il dominio. È la categoria dove si annidano i casi come questo.