Chaîne de failles PaperCut NG/MF en retard chez la CISA -- passez aux nouvelles versions

PaperCut a remplacé ses correctifs d'urgence par des versions de maintenance officielles -- 26.0.5, 25.0.13 et 24.1.10 -- pour PaperCut NG et PaperCut MF, corrigeant deux vulnérabilités enchaînées que CISA a ajoutées à son catalogue des vulnérabilités exploitées connues le 31 août. La date limite fédérale de remédiation, le 14 septembre, est déjà passée.

Deux failles, une chaîne d'exploitation

CVE-2026-81578 (CVSS 8.8) est une faille d'authentification manquante dans l'interface de gestion web : des requêtes visant des fonctions administratives peuvent déclencher des actions backend avant que les vérifications d'accès ne soient terminées, permettant à un attaquant non authentifié de modifier la configuration système. CVE-2026-82078 (CVSS 9.4) est un problème distinct et plus grave dans les utilitaires de connexion à la base de données, qui instancient des classes de pilotes à partir d'un nom configurable sans le valider contre une liste d'autorisation -- un attaquant capable d'atteindre ce paramètre peut faire exécuter du bytecode Java arbitraire sous le processus serveur PaperCut.

Enchaînées, les deux failles offrent à un attaquant non authentifié un chemin vers une exécution de code à distance sur le serveur d'application. PaperCut a confirmé une exploitation active et plusieurs incidents clients, et selon l'analyse de Rapid7, un module Metasploit validant l'exposition à la chaîne circule déjà.

Qui est exposé

PaperCut NG et MF sont des plateformes de gestion d'impression utilisées par plus de 70 000 organisations dans le monde, y compris des écoles, des agences gouvernementales, des entreprises et les MSP qui les gèrent. Toutes les versions de NG et MF ont été signalées comme potentiellement affectées avant le correctif actuel, et un serveur PaperCut se trouve à proximité de l'authentification, des quotas et des flux de documents -- un point d'appui utile en cas de compromission.

Ce qu'il faut faire cette semaine

• Inventorier tous les serveurs d'application de votre parc, y compris les serveurs de site et secondaires, et pas seulement l'instance principale.
• Mettre à niveau vers 26.0.5, 25.0.13 ou 24.1.10 selon votre branche -- ces versions remplacent les correctifs d'urgence antérieurs Release 1-3 et incluent un durcissement supplémentaire.
• Jusqu'à la mise à niveau, restreindre l'interface de gestion web du serveur d'application aux seuls réseaux administratifs de confiance.
• En cas de suspicion de compromission, les recommandations de PaperCut sont de reconstruire à partir d'une sauvegarde connue propre plutôt que de faire confiance à un correctif sur place.

La date limite du 14 septembre de CISA est une exigence contraignante pour les agences civiles fédérales américaines, et non universelle -- mais avec une exploitation confirmée et une chaîne d'exploitation publique, tous les autres opérateurs PaperCut devraient la traiter comme la même cible opérationnelle.

Sources : Bulletin de sécurité PaperCut, Alerte KEV CISA, Analyse Rapid7.