Catena di falle in PaperCut NG/MF: termine CISA scaduto, aggiorna alle nuove build

PaperCut ha sostituito le patch di emergenza con release di manutenzione ufficiali -- 26.0.5, 25.0.13 e 24.1.10 -- per PaperCut NG e PaperCut MF, chiudendo due vulnerabilità concatenate che CISA ha aggiunto al suo catalogo Known Exploited Vulnerabilities il 31 agosto. Il termine federale per la correzione, il 14 settembre, è già scaduto.

Due falle, una catena di exploit

CVE-2026-81578 (CVSS 8.8) è una falla di autenticazione mancante nell'interfaccia di gestione web: le richieste destinate alle funzioni amministrative possono attivare azioni backend prima che i controlli di accesso siano completati, consentendo a un attaccante non autenticato di alterare la configurazione di sistema. CVE-2026-82078 (CVSS 9.4) è un problema separato e più grave nelle utilità di connessione al database, che istanziano classi driver da un nome configurabile senza convalidarlo rispetto a un elenco consentito -- un attaccante che può raggiungere quell'impostazione può ottenere l'esecuzione di bytecode Java arbitrario nel processo del server PaperCut.

Concatenate tra loro, le due falle offrono a un attaccante non autenticato un percorso verso l'esecuzione di codice remoto sull'Application Server. PaperCut ha confermato lo sfruttamento attivo e diversi incidenti tra i clienti e, secondo l'analisi di Rapid7, sta già circolando un modulo Metasploit che verifica l'esposizione alla catena.

Chi è esposto

PaperCut NG e MF sono piattaforme di gestione della stampa usate da più di 70.000 organizzazioni in tutto il mondo, tra cui scuole, agenzie governative, aziende e gli MSP che le gestiscono. Tutte le versioni di NG e MF erano state segnalate come potenzialmente interessate prima della correzione attuale e un server PaperCut si trova vicino ad autenticazione, quote e flussi di lavoro documentali: un punto d'appoggio utile se compromesso.

Cosa fare questa settimana

• Esegui l'inventario di ogni Application Server nel tuo ambiente, inclusi i server di sito e secondari, non solo l'istanza primaria.
• Aggiorna a 26.0.5, 25.0.13 o 24.1.10 a seconda del ramo -- queste versioni sostituiscono le precedenti patch di emergenza Release 1-3 e includono un rafforzamento aggiuntivo.
• Fino all'aggiornamento, limita l'interfaccia di gestione web dell'Application Server alle sole reti amministrative fidate.
• Se sospetti una compromissione, la guida di PaperCut consiglia di ricostruire da un backup noto pulito anziché fidarti di una correzione in loco.

La scadenza del 14 settembre di CISA è un requisito vincolante per le agenzie civili federali statunitensi, non è universale -- ma con lo sfruttamento confermato e una catena di exploit pubblica, ogni altro operatore PaperCut dovrebbe trattarla come lo stesso obiettivo operativo.

Fonti: bollettino di sicurezza PaperCut, avviso CISA KEV, analisi di Rapid7.