PaperCut, voilà la cible sur laquelle se sont concentrés les attaquants. Ce logiciel de gestion d’impression très répandu permet aux organisations de suivre et facturer leurs travaux d’impression, copie et numérisation.
Problème : auto-hébergés, ces logiciels tournent régulièrement avec des privilèges système sous Windows, et sont généralement connectés à un domaine Active Directory. Autrement dit, une brèche dans PaperCut peut ouvrir la voie à une prise de contrôle complète du système d’information d’une organisation.
Le 28 août 2026, l’éditeur dévoilait que deux failles critiques touchaient le logiciel, CVE-2026-81578 et CVE-2026-82078.
Des correctifs avaient alors été déployés, mais dans un rapport paru le 9 septembre 2026, la société GreyNoise révèle qu’au moins 440 instances PaperCut ont pu être compromises chez 395 organisations différentes, réparties dans 48 pays.
Une campagne pilotée par l’IA, à une vitesse inédite
Selon GreyNoise, l’ampleur de la compromission est le fruit d’une utilisation de l’IA par les cybercriminels.
L’entreprise recense des centaines d’agents IA, construits sur le harnais Codex d’OpenAI et un modèle DeepSeek, le tout couplé à des outils offensifs open source.
L’attaquant a d’abord développé et testé son exploit dans un environnement de laboratoire avant de lâcher ses agents sur le web ouvert pour repérer et attaquer les cibles réelles.
« L’attaquant est passé d’un espace de travail vide à l’exécution de code à distance en moins de quatre heures, puis à l’obtention des droits d’administrateur de domaine deux heures plus tard. Une fois la campagne lancée, il a compromis au moins 11 organisations en 26 secondes », retrace l’étude.
Éducation en première ligne, la France pas épargnée
Mais l’automatisation a aussi eu ses couacs. Selon GreyNoise, l’attaquant avait explicitement demandé à ses agents d’épargner 28 pays, dont la Russie, la Chine et plusieurs anciennes républiques soviétiques. Pourtant, certaines cibles situées dans ces pays ont bien été touchées.
Le secteur le plus touché est, de loin, l’éducation : 204 victimes, loin devant les services professionnels ou l’immobilier. Les États-Unis (98 victimes) et le Royaume-Uni (59) arrivent en tête du décompte par pays.
La France n’est pas épargnée, avec 31 organisations touchées, dont une où l’attaquant est parvenu jusqu’aux droits d’administrateur de domaine.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Pour ne rien manquer de l’actualité, suivez Numerama sur Google !