Yüzlerce yapay zekâ ajanı PaperCut açıklarını kullanarak 395 kurumu etkiledi

GreyNoise, PaperCut NG/MF sunucularındaki CVE-2026-81578 ve CVE-2026-82078 açıklarını hedefleyen küresel bir saldırı kampanyası gözlemledi. Araştırmaya göre saldırgan, yüzlerce yapay zekâ ajanını keşif, istismar geliştirme ve saldırı yürütme işlerinde eş zamanlı kullandı.

Şirketin gözlemleri en az 440 PaperCut örneğini ve 48 ülkedeki 395 kurumu kapsıyor. 280 kurban ortamında kimlik bilgileri, 147'sinde işletim sistemi veya etki alanı sırları elde edildi; 12 kurumda etki alanı yöneticisi yetkisine ulaşıldı. Eğitim sektörü en yoğun etkilenen alan oldu.

GreyNoise, saldırganın boş bir çalışma alanından gerçek bir sistemde uzaktan kod yürütmeye dört saatten kısa sürede geçtiğini; tam kampanya başladıktan sonra 26 saniye içinde en az 11 kurumu etkilediğini bildirdi. Kampanyanın nihai amacı henüz kesin değil.

PaperCut'ın üretici bülteni etkilenen sürümler için acil güncellemeler yayımlıyor. Yöneticilerin yamaları uygulaması, verilen göstergeleri günlüklarında araması ve PaperCut hizmet hesaplarının yetkilerini azaltması öneriliyor. Rakamlar GreyNoise telemetrisine dayanıyor ve kampanyanın tam kapsamı daha geniş olabilir.

Saldırganlar sistemlerde ne yaptı?

PaperCut sunucusuna erişim sağlandıktan sonra saldırganların, bağlı Windows ve Active Directory ortamlarında yetki yükseltmeye çalıştığı gözlemlendi.

Araştırmacılar üç temel saldırı yöntemi belirledi:

• PaperCut sunucularından LSASS belleğinin ve Windows kayıt defteri bilgilerinin alınması

• Güncellenmemiş sistemlerde eski Active Directory açıklarının kullanılması

• PaperCut hizmetinin yüksek yetkilerle çalıştığı ortamlarda yeni hesapların doğrudan “Domain Admins” grubuna eklenmesi

Bazı sistemlerde DCSync tekniği kullanılarak Active Directory’deki hesap bilgilerinin kopyalanmaya çalışıldığı bildirildi. Böyle bir erişim, saldırgana kurum içindeki kullanıcı hesapları ve sunucular üzerinde geniş yetkiler sağlayabilir.

PaperCut acil güvenlik güncellemelerini yayımladı

PaperCut, güvenlik açıklarının aktif biçimde istismar edildiğini ve doğrulanmış müşteri vakaları bulunduğunu açıkladı. Şirket, daha önce yayımlanan acil yamaların yerine tam kalite kontrollerinden geçirilen güvenlik bakım sürümlerini kullanıma sundu.

PaperCut NG ve MF kullanıcılarının şu sürümlerden birine geçmesi öneriliyor:

• PaperCut NG/MF 26.0.5

• PaperCut NG/MF 25.0.13

• PaperCut NG/MF 24.1.10

PaperCut, acil yama sürümlerini daha önce kurmuş olan müşterilerin de uygun bakım sürümüne yükseltme yapmasını tavsiye ediyor.