Check Point corregge due RCE VPN mentre gli agenti AI scalano l’attacco PaperCut

🛡️ Executive Summary

• Check Point corregge CVE-2026-85102 e CVE-2026-85103, due falle CVSS 9,8 che possono portare a RCE remota senza autenticazione.
• Un attore probabilmente russofono utilizza centinaia di agenti AI per automatizzare exploit e post-exploitation contro almeno 440 istanze PaperCut.
• PaperCut richiede le versioni 24.1.10, 25.0.13 o 26.0.5; Check Point distribuisce Live Patch e Jumbo Hotfix per i rami interessati.

Due vulnerabilità critiche nelle VPN Check Point e una campagna PaperCut orchestrata con centinaia di agenti AI mostrano quanto rapidamente stia cambiando la superficie offensiva delle infrastrutture enterprise. Check Point ha corretto CVE-2026-85102 e CVE-2026-85103, entrambe valutate 9,8 su 10, capaci in specifiche condizioni di portare un attaccante remoto non autenticato all’esecuzione di codice sui gateway e sui sistemi di gestione. Parallelamente, GreyNoise e Blackpoint hanno ricostruito un’operazione contro PaperCut NG/MF nella quale un attore probabilmente russofono ha utilizzato OpenAI Codex, un modello DeepSeek e centinaia di agenti autonomi per passare dalla ricerca delle vulnerabilità alla compromissione di centinaia di server reali.

Check Point corregge due vulnerabilità VPN con CVSS 9,8

Check Point ha divulgato il 9 settembre 2026 due vulnerabilità individuate internamente nella gestione dei certificati VPN. Nel bollettino pubblicato dall’azienda nella propria community ufficiale il vendor precisa di non avere al momento evidenze di sfruttamento attivo, ma considera entrambe le falle sufficientemente critiche da richiedere un aggiornamento immediato. CVE-2026-85102 riguarda una validazione non corretta della fiducia dei certificati durante la negoziazione VPN e può consentire a un attaccante remoto privo di autenticazione di eseguire codice sul Security Gateway. CVE-2026-85103 è invece un heap-based buffer overflow durante la decodifica ASN.1 di un certificato VPN e può raggiungere sia Quantum Security Gateway sia Quantum Security Management. I record indicano come vulnerabili R82.10 con Jumbo Hotfix Take 43 o precedenti, R82 con Take 125 o precedenti e R81.20 con Take 165 o precedenti. Check Point offre due percorsi di correzione: Live Patch, distribuito automaticamente agli ambienti compatibili a partire dal 9 settembre, oppure il più recente Jumbo Hotfix disponibile per il ramo installato. È un nuovo intervento su una superficie che nel 2026 ha già richiesto patch urgenti: a giugno CVE-2026-50751 aveva permesso di aggirare l’autenticazione delle VPN Check Point, mentre a luglio CVE-2026-16232 aveva interessato direttamente l’accesso privilegiato ai server di gestione.

Il certificato VPN diventa direttamente un vettore per l’esecuzione di codice

Le due vulnerabilità sono particolarmente delicate perché colpiscono una fase che precede l’accesso normale alla rete protetta. Nel caso di CVE-2026-85102, il problema nasce dal controllo della catena di fiducia associata al certificato presentato durante la negoziazione; nella seconda falla l’input controllato dall’esterno raggiunge il decoder ASN.1, provocando una corruzione heap utilizzabile per eseguire codice. Un gateway progettato per essere il punto di separazione tra Internet e la rete aziendale diventa quindi esso stesso il bersaglio. Check Point specifica che l’esecuzione di codice è possibile soltanto in “specific conditions”, senza però dettagliare pubblicamente tutti i requisiti necessari. Questa cautela impedisce di trattare ogni gateway esposto come automaticamente sfruttabile, ma non riduce l’urgenza del patching. La società ha inoltre chiarito che CVE-2026-85103 riguarda l’elaborazione dei certificati e potrebbe teoricamente essere raggiungibile anche in ambienti nei quali il software blade VPN risulta disabilitato ma sono ancora presenti certificati VPN. Dopo la precedente campagna che aveva portato CISA a imporre patch urgenti per Check Point, la presenza di due nuove RCE pre-auth rende prudente verificare sia versione sia stato effettivo della protezione Live Patch, senza assumere che il rollout automatico sia già arrivato su ogni gateway.

Leggi anche: CubePilot, Check Point e Gitea espongono tre snodi critici tra identità e gestione privilegiata

PaperCut passa dalla zero-day a una campagna coordinata da agenti AI

Il secondo sviluppo parte da vulnerabilità già note. CVE-2026-81578, authentication bypass, e CVE-2026-82078, unsafe dynamic class loading, possono essere concatenate per ottenere RCE pre-authentication sui server PaperCut NG e MF. La prima permette di raggiungere funzioni amministrative senza autenticazione; la seconda sfrutta la possibilità di selezionare dinamicamente classi Java attraverso parametri controllabili, arrivando all’esecuzione nel contesto del processo PaperCut. Le due falle erano già entrate nel KEV dopo gli attacchi osservati ad agosto e PaperCut aveva dovuto distribuire più patch d’emergenza prima della release corretta definitiva.

La novità emerge dalla ricostruzione tecnica di GreyNoise. Il 31 agosto un attore ritenuto probabilmente russofono ha utilizzato l’indirizzo 45.142.193[.]132 per sviluppare e testare la catena PaperCut dentro un laboratorio contenente il software vulnerabile e un server Active Directory. Parallelamente costruiva liste di bersagli attraverso Netlas. Dopo aver raggiunto RCE e credential harvesting nel proprio ambiente, l’operatore ha lanciato centinaia di agenti AI, alimentati da OpenAI Codex e da un modello DeepSeek, insieme a strumenti offensivi pubblici come Mimikatz, SharpHound, Certipy, Rubeus e Impacket.

Almeno 440 istanze compromesse in 48 Paesi

GreyNoise attribuisce alla campagna la compromissione di almeno 440 istanze PaperCut appartenenti a 395 organizzazioni in 48 Paesi. In 280 casi gli attaccanti avrebbero raggiunto il credential harvesting, in 147 ottenuto segreti del sistema operativo o del dominio e in 12 organizzazioni privilegi Domain Admin. Il settore maggiormente colpito è l’istruzione, con 204 istanze, seguito da servizi professionali e commerciali, hospitality, MSP, organizzazioni non profit, industria e pubblica amministrazione. La velocità operativa è l’elemento che distingue maggiormente questa campagna. Secondo GreyNoise, l’attaccante è passato da un workspace inizialmente vuoto alla prima RCE contro una vittima reale in meno di quattro ore. Una volta avviata la fase operativa, almeno 11 organizzazioni sono state compromesse in 26 secondi. In una scuola superiore statunitense sono trascorsi soltanto sette minuti tra accesso iniziale e privilegi completi di amministratore di dominio. L’AI non avrebbe prodotto un exploit tecnicamente rivoluzionario: il vantaggio nasce dalla capacità di parallelizzare ricerca, debugging, classificazione dei target, retry e post-exploitation. Questa differenza è fondamentale. Il recente caso degli agenti OpenAI che avevano coordinato autonomamente un attacco contro Hugging Face mostrava il rischio di sciami agentici all’interno di ambienti di valutazione. PaperCut mostra ora l’altra faccia del problema: un operatore umano può trasformare gli stessi meccanismi di orchestrazione in una fabbrica di exploit contro infrastrutture reali.

L’AI riduce soprattutto il costo umano dell’attacco

L’analisi recuperata dall’infrastruttura dell’attaccante mostra un workflow molto più sofisticato del semplice “LLM che scrive malware”. Gli agenti confrontavano versioni PaperCut corrette e vulnerabili, costruivano strumenti di validazione multi-thread, classificavano i sistemi in funzione del sistema operativo e dello stato dell’exploit, registravano i fallimenti e modificavano automaticamente il codice prima dei tentativi successivi. Hindsight forniva memoria persistente agli agenti, mentre AionUi permetteva di eseguire e osservare più sistemi contemporaneamente. È questa architettura a cambiare l’economia dell’attacco. Il modello non sostituisce necessariamente un exploit developer altamente qualificato; permette però a un singolo operatore di coordinare centinaia di processi paralleli che svolgono attività normalmente manuali. Blackpoint sintetizza il fenomeno indicando come impatto principale dell’AI la diminuzione dello sforzo necessario per ricerca, sviluppo, debug, classificazione, monitoraggio e retry su centinaia di sistemi. La dinamica si collega direttamente ai rischi già osservati quando agenti AI di OpenAI, Anthropic e Google avevano raggiunto sistemi reali e workflow GitHub. Nel caso PaperCut, però, il problema non è più soltanto stabilire se un agente possa oltrepassare un confine: è quantificare quanto più velocemente un aggressore umano possa scalare un attacco quando il lavoro ripetitivo viene delegato a una flotta di agenti.

Continua con:

• Langflow e PaperCut sotto attacco: exploit puntano a credenziali e dati
• DeepSeek evade la sandbox mentre token AI rubati superano anche l’MFA

Patch immediate e riduzione della superficie Internet diventano indispensabili

Per PaperCut la risposta operativa è ormai definita. Il security bulletin ufficiale indica come release corrette 24.1.10, 25.0.13 e 26.0.5 e raccomanda di rimuovere immediatamente da Internet l’accesso alle interfacce Web non necessario, limitando le porte 9191 e 9192 agli indirizzi fidati. Gli ambienti che hanno applicato soltanto le prime Emergency Patch devono verificare di essere arrivati all’ultima release, perché gli interventi successivi hanno incorporato correzioni e hardening aggiuntivi. Per Check Point la priorità è analoga: controllare il ramo installato, applicare Live Patch o Jumbo Hotfix e non considerare l’assenza di exploitation nota come motivo per rinviare l’intervento. I due incidenti mostrano infatti due momenti dello stesso ciclo. Check Point dispone ancora di una finestra preventiva, perché non risultano attacchi osservati sulle nuove CVE; PaperCut mostra cosa può accadere quando una catena sfruttabile diventa pubblica e incontra strumenti capaci di industrializzarne l’uso. Con centinaia di agenti AI in grado di sviluppare, testare e correggere exploit parallelamente, il vantaggio temporale tra disponibilità della patch e automazione dell’attacco sta diventando sempre più piccolo.