La veille · septembre 2026

Dix dossiers du mois, plus un qui déborde de deux jours la période couverte. Chacun avec ce qu’on en sait et ce qu’on n’en sait pas. Puis ce que j’en retiens, une mesure, et une prévision datée.

31 août · PaperCut : le contrôle arrive après l’action, puis une campagne attribuée à des agents

Le fait. L’éditeur de logiciels d’impression PaperCut fait état d’incidents confirmés chez des clients. Le 31 août, l’agence américaine de cybersécurité (CISA) inscrit les deux failles en cause à son catalogue des vulnérabilités activement exploitées, le KEV.¹

Ce qui est établi. Avec la première, des requêtes non authentifiées visant des fonctions d’administration peuvent déclencher des actions côté serveur « prior to the completion of access validation checks » : l’action part avant la fin du contrôle. La seconde exécute du code Java sous l’identité du serveur. Les correctifs d’urgence des 28 août et 1er septembre gardaient le numéro de version des builds vulnérables : un inventaire ne distinguait pas un serveur corrigé d’un serveur exposé.

Ce qui ne l’est pas. Qui conduit l’attaque. L’éditeur de sécurité GreyNoise attribue la campagne lancée le 31 août à des centaines d’agents d’intelligence artificielle : première exécution de code en moins de quatre heures, 395 organisations touchées, droits d’administrateur de domaine obtenus chez douze d’entre elles par noPac, deux failles Windows de 2021.² C’est une source unique, et PaperCut dit ne pas avoir vérifié ces chiffres de façon indépendante.

La suite, réservée aux abonnés