PaperCut NG/MF: la cadena de fallos ya está vencida en la lista de CISA

PaperCut ha sustituido sus parches de emergencia por versiones de mantenimiento formales — 26.0.5, 25.0.13 y 24.1.10 — para PaperCut NG y PaperCut MF, con las que cierra dos vulnerabilidades encadenadas que CISA añadió a su catálogo de vulnerabilidades explotadas conocidas el 31 de agosto. El plazo federal de corrección, el 14 de septiembre, ya ha vencido.

Dos fallos, una cadena de explotación

CVE-2026-81578 (CVSS 8.8) es un fallo por falta de autenticación en la interfaz de gestión web: las solicitudes dirigidas a funciones administrativas pueden activar acciones del backend antes de que se completen las comprobaciones de acceso, lo que permite a un atacante no autenticado modificar la configuración del sistema. CVE-2026-82078 (CVSS 9.4) es un problema independiente y más grave en las utilidades de conexión a la base de datos, que instancian clases de controlador a partir de un nombre configurable sin validarlo contra una lista de permitidos: un atacante que pueda alcanzar esa configuración puede lograr que se ejecute código de bytes Java arbitrario bajo el proceso del servidor PaperCut.

Encadenados, los dos fallos ofrecen a un atacante no autenticado una vía para la ejecución remota de código en el Application Server. PaperCut ha confirmado la explotación activa y varios incidentes con clientes y, según el análisis de Rapid7, ya circula un módulo de Metasploit que valida la exposición a la cadena.

Quién está expuesto

PaperCut NG y MF son plataformas de gestión de impresión utilizadas por más de 70.000 organizaciones en todo el mundo, incluidas escuelas, organismos públicos, empresas y los MSP que las gestionan. Todas las versiones de NG y MF fueron marcadas como potencialmente afectadas antes de la corrección actual, y un servidor PaperCut se sitúa cerca de la autenticación, las cuotas y los flujos de trabajo documentales: un punto de apoyo útil si se ve comprometido.

Qué hacer esta semana

• Haga un inventario de todos los Application Server de su entorno, incluidos los servidores de sitio y secundarios, no solo la instancia principal.
• Actualice a 26.0.5, 25.0.13 o 24.1.10 según su rama: estas versiones sustituyen a los parches de emergencia anteriores Release 1-3 e incluyen refuerzo adicional.
• Hasta que actualice, restrinja la interfaz de gestión web del Application Server únicamente a redes administrativas de confianza.
• Si se sospecha una intrusión, la recomendación de PaperCut es reconstruir a partir de una copia de seguridad que se sepa limpia en lugar de confiar en una corrección in situ.

El plazo del 14 de septiembre fijado por CISA es un requisito vinculante para las agencias civiles federales de Estados Unidos, no universal, pero con una explotación confirmada y una cadena de explotación pública, todos los demás operadores de PaperCut deberían tratarlo como el mismo objetivo operativo.

Fuentes: boletín de seguridad de PaperCut, alerta KEV de CISA, análisis de Rapid7.