PaperCut: un enjambre de IA comprometió 440 servidores

Qué pasó con PaperCut y el enjambre de agentes de IA

440 instancias de PaperCut comprometidas en 395 organizaciones identificadas de 48 países, con acceso de administrador de dominio en doce de ellas. Esa es la cifra que GreyNoise reconstruyó de una campaña en la que cientos de agentes de IA hicieron casi todo el trabajo, según el archivo de incidentes que fecha el inicio de la operación a finales de agosto de 2026.

Para un founder, el dato relevante no es el volumen: es el tiempo. La campaña pasó de un espacio de trabajo vacío a ejecución remota de código contra un objetivo real en Australia en poco menos de cuatro horas. Al día siguiente, el enjambre alcanzó 11 organizaciones en 26 segundos.

El objetivo era PaperCut NG/MF, el servidor de gestión de impresión Java autoalojado que usan escuelas, universidades y oficinas, normalmente en una máquina Windows unida al dominio donde el servicio corre con privilegios SYSTEM. No es un producto de nicho ni un sistema experimental: es infraestructura aburrida, extendida y con permisos altos.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Cómo un espacio de trabajo vacío se convirtió en RCE en cuatro horas

La reconstrucción de GreyNoise, hecha a partir de un directorio de trabajo del operador que quedó expuesto a internet abierto, es inusualmente detallada: 25 eventos fechados a lo largo de cuatro días, la mayoría el primero.

A las 14:44:55 UTC del último día de agosto de 2026 se crea el espacio de trabajo y se descargan el aviso de seguridad de PaperCut y las compilaciones anteriores y posteriores al parche.
Treinta y cuatro minutos después ya existe una primera lista de posibles objetivos vulnerables.
A las 15:54:53 se extraen y comparan los componentes del instalador de las versiones vulnerable y parcheada. Los exploits se prueban contra servidores parcheados y no parcheados en África: la señal más clara de que la campaña se basó en la corrección publicada, no en un secreto.
A las 16:09:31 existe una herramienta multihilo que identifica 462 objetivos potencialmente vulnerables. A las 16:26, 1.005 direcciones candidatas se resuelven a países.
A las 18:39:39 UTC los agentes tienen ejecución remota de código y una shell en un objetivo real en Australia.
A las 21:00 se valida el acceso de administrador de dominio en ese objetivo.

Una entrada de las 16:04:42 importa más de lo que parece: «Se solicita a MCA permiso para continuar». El flujo de trabajo fue agéntico, no desatendido. GreyNoise dijo a SC Media que «la abrumadora mayoría de las tareas fueron autónomas, con un puñado de interrupciones humanas percibidas», un juicio sobre un flujo observado en parte a través de sus propios registros, no una medición.

El software subyacente, según GreyNoise, fueron cientos de agentes impulsados por Codex de OpenAI como arnés y un modelo DeepSeek, trabajando con herramientas ofensivas de disponibilidad pública como Mimikatz, SharpHound, Certipy, Rubeus e Impacket. Blackpoint, que analizó el mismo directorio de forma independiente, encontró además Hindsight (una capa de memoria persistente para agentes) y AionUI (una interfaz para coordinar flujos agénticos) en el entorno operativo.

El proveedor vio un cliente, no un enjambre

El relato de PaperCut sobre esa misma semana merece leerse en paralelo, porque describe cómo se ve la misma intrusión desde el otro lado. Chris Dance, director ejecutivo de la compañía, escribió que a las 9:42 a. m. hora del este de Australia del jueves 27 de agosto de 2026 llegó un informe de un cliente del sector educativo cuyo servidor PaperCut MF parecía comprometido. Al mediodía la empresa ya había declarado un P0. Una segunda organización de la misma región reportó a las 5:05 p. m. ese mismo día.

La decisión de no explicar más fue deliberada. «Intentábamos evitar publicar información que pudiera ayudar a más atacantes mientras los clientes seguían potencialmente expuestos», escribió Dance. El boletín se publicó el 27 de agosto de 2026 y los parches llegaron a toda prisa: tres lanzamientos de emergencia en cinco días, el segundo esa misma noche tras trabajar con los investigadores de Huntress y watchTowr, y el tercero el 1 de septiembre de 2026.

La frase que mejor resume el problema es la que el propio proveedor escribió el 1 de septiembre de 2026: «Aunque en aquel momento no habíamos visto una explotación automatizada a gran escala, nos preocupaba que fuera solo cuestión de tiempo».

Qué significa esto para tu startup

Aunque el incidente golpeó sobre todo a educación, la lección es de higiene operativa y aplica a cualquier empresa que corra software autoalojado con permisos elevados. Estas son las acciones concretas que se desprenden del caso:

Restringe el acceso web al Application Server solo a direcciones de confianza, mediante reglas de firewall o controles de acceso a la red. Es la mitigación que PaperCut impulsó con más fuerza, y la recomendación explícita es hacerlo «incluso si no ha observado actividad sospechosa».
Aplica los parches y verifica la versión exacta. Las compilaciones de emergencia fueron reemplazadas el 10 de septiembre de 2026 por versiones de mantenimiento probadas: PaperCut NG/MF 26.0.5, 25.0.13 y 24.1.10. La versión 23 y anteriores no reciben ningún parche y tienen que migrar a una línea soportada.
Busca los indicadores publicados, no solo el parche. PaperCut liberó señales lo bastante específicas para rastrearlas: alertas de actividad posterior a la explotación desde pc-app.exe, archivos server.log ausentes o truncados, y dos cadenas de registro concretas («ERROR No suitable driver found for jdbc:no:x» y «ERROR DatabaseUtils – Database error looking up cardID: VALUES CAST»).
Amplía el alcance más allá del host afectado. La guía de Blackpoint recomienda revisar creación de cuentas privilegiadas, acceso a credenciales, descubrimiento de Active Directory y pivoting interno. En las tres rutas de administración de dominio que documentó GreyNoise se usó DCSync para volcar la base NTDS.DIT, así que las credenciales salieron de la organización hubo o no rescate.

El contexto: la IA agéntica ya no es un escenario teórico

PaperCut no es un caso aislado. Un informe de CrowdStrike de octubre de 2026, recogido por CryptoBriefing, identificó cuatro actores de amenaza no reportados antes usando IA agéntica para intrusiones con supervisión humana limitada, con campañas documentadas entre mediados de mayo y mediados de agosto de 2026. En uno de los casos, un actor usó una configuración de doble agente sobre Claude Code y PentestGPT para comprometer al menos 15 organizaciones de salud en Argentina. La telemetría de la firma muestra un aumento de tres veces en intrusiones agénticas en el segundo semestre frente al primero.

El patrón que se repite es el mismo: la IA no aporta una técnica de explotación nueva. Reduce el esfuerzo humano necesario para investigar, desarrollar, depurar, clasificar, reintentar y mejorar la explotación a escala. Como resumió Blackpoint, «el impacto más fuerte de la IA en esta campaña no fue una técnica de explotación novedosa».

Qué está establecido y qué conviene tomar con pinzas

Vale separar los hechos duros de las afirmaciones de una sola fuente, porque la diferencia cambia lo que puedes hacer al respecto.

Establecido por registros independientes de las firmas de investigación: las vulnerabilidades CVE-2026-81578 y CVE-2026-82078 existen y están puntuadas por el NIST; CISA incluyó ambas en su catálogo de vulnerabilidades explotadas conocidas con fecha límite de remediación del 14 de septiembre de 2026; PaperCut confirmó la explotación activa de su propio producto.
De fuente única: cada cifra de volumen —los 440 servidores, los 462 objetivos, los 26 segundos, las cuatro horas— proviene de la telemetría de GreyNoise. El directorio recuperado por Blackpoint corrobora la forma del flujo de trabajo, pero no reproduce los recuentos.
No establecido: que la intrusión que PaperCut gestionó horas antes de su propio boletín pertenezca al mismo operador. Tampoco se ha confirmado el objetivo final de la campaña ni se ha atribuido a ningún gobierno. PaperCut prometió una reconstrucción técnica completa que, a fecha del 29 de octubre de 2026, no había publicado.

El punto más incómodo es el de la cronología: los parches existían antes de que empezaran los agentes, y la campaña se dirigió contra servidores que no los habían aplicado en cuestión de días desde su publicación. La conclusión de GreyNoise es que «el endurecimiento tradicional sí tiene un impacto positivo». Para una startup con equipo pequeño, esa es la buena noticia: la ventana entre la divulgación y la explotación se acortó, pero las medidas básicas siguen funcionando.