תוקף השתמש בסוכני AI כדי לפרוץ ל-395 ארגונים דרך פגיעויות PaperCut תוך שעות

חוקרי Blackpoint Cyber, GreyNoise ו-Arctic Wolf תיעדו קמפיין ניצול המוני נגד שרשרת הפגיעויות שנחשפה באוגוסט בתוכנת ניהול ההדפסה PaperCut NG/MF — הפעם לא כתקיפה ידנית אלא כתהליך שרובו הופעל על ידי סוכני בינה מלאכותית אוטומטיים. לפי הדיווחים, התוקף הצליח להשיג גישה ל-440 שרתים ב-395 ארגונים ב-48 מדינות, חלקם תוך שניות בודדות מתחילת הניסיון.

איור קונספטואלי של סוכני בינה מלאכותית חודרים במהירות למערך שרתים, המסמל תקיפה אוטומטית בקנה מידה רחב

מזהה (CVE)	CVE-2026-81578, CVE-2026-82078
מוצר וגרסאות מושפעות	PaperCut NG/MF גרסאות 24, 25 ו-26 שלא עודכנו ל-Emergency Patch Release 3
חומרה (CVSS)	CVE-2026-81578: 8.8 (חמורה) · CVE-2026-82078: 9.4 (קריטית)
מנוצל בפועל	כן — קמפיין ניצול המוני, שתי הפגיעויות בקטלוג KEV של CISA
סטטוס תיקון	זמין — Emergency Patch Release 3

מה קרה

לפי הדיווח, התוקף הפעיל מאות סוכני בינה מלאכותית מבוססי OpenAI Codex ומודל DeepSeek, בשילוב כלים פוגעניים מוכרים כמו Mimikatz, SharpHound, Certipy, Rubeus ו-Impacket, כדי לאתר שרתי PaperCut חשופים, לנצל את שתי הפגיעויות המשורשרות ולבצע תנועה רוחבית ברשת הפנימית — הכול כמעט ללא התערבות אנושית ישירה בכל יעד בנפרד. הפעילות החלה סביב סוף אוגוסט 2026, ולפי החוקרים בשיא הקמפיין נפרצו 11 ארגונים תוך 26 שניות בלבד; במקרה אחד של בית ספר תיכון הגיע התוקף מנקודת הכניסה הראשונית להרשאות מנהל דומיין תוך שבע דקות.

המהירות והיקף הפעולה המקבילה נגד מאות יעדים בו-זמנית הם החדשים כאן — הפגיעויות עצמן ותיקוניהן פורסמו כבר באוגוסט, אך ההיקף בפועל של קמפיין הניצול לא היה ידוע עד כה.

נקודות לשים לב

אם עדיין לא התקנת את Emergency Patch Release 3 — זו לא עוד תזכורת שגרתית: לפי הדיווח, מדובר בקמפיין ניצול פעיל ורחב היקף שכבר פגע במאות ארגונים, לא רק בסיכון תיאורטי.
שרתי PaperCut שנפרצו שימשו כנקודת כניסה לתנועה רוחבית באמצעות כלים כמו Mimikatz ו-Rubeus — אם זיהית ניצול, אל תסתפק בעדכון הגרסה; יש לבדוק חשיפת אישורי דומיין ולבצע חקירת נוזקות מלאה.
הקצב המהיר (ארגונים שנפרצו תוך שניות עד דקות) אומר שזמן התגובה האנושי הרגיל לא מספיק כהגנה יחידה — הפרדת שרתי PaperCut משאר הרשת הפנימית (הגבלת תנועה רוחבית) חשובה גם אחרי עדכון.
בדוק ביומני הגישה סימני סריקה המונית וניסיונות התחברות מהירים וחוזרים משרתי PaperCut חשופים לאינטרנט — אלו סימנים לניסיון ניצול אוטומטי, גם אם לא הצליח.

מקורות: The Hacker News · BleepingComputer