PaperCut NG/MF-keten staat op CISA's achterstallige lijst — patch naar de nieuwe builds

PaperCut heeft zijn noodpatches vervangen door formele maintenance-releases -- 26.0.5, 25.0.13 en 24.1.10 -- voor PaperCut NG en PaperCut MF, waarmee twee gekoppelde kwetsbaarheden worden gedicht die CISA op 31 augustus aan zijn Known Exploited Vulnerabilities-catalogus heeft toegevoegd. De federale remediatiedeadline, 14 september, is al verstreken.

Twee kwetsbaarheden, één exploitketen

CVE-2026-81578 (CVSS 8.8) is een kwetsbaarheid door ontbrekende authenticatie in de webbeheerinterface: verzoeken gericht op administratieve functies kunnen backend-acties activeren voordat toegangscontroles zijn afgerond, waardoor een niet-geauthenticeerde aanvaller de systeemconfiguratie kan wijzigen. CVE-2026-82078 (CVSS 9.4) is een afzonderlijk, ernstiger probleem in de databaseverbindingshulpprogramma's, die driverklassen instantiëren op basis van een configureerbare naam zonder deze te valideren tegen een allowlist -- een aanvaller die die instelling kan bereiken, kan willekeurige Java-bytecode laten uitvoeren onder het PaperCut-serverproces.

Gekoppeld bieden de twee kwetsbaarheden een klanten niet-geauthenticeerde aanvaller een pad naar uitvoering van code op afstand op de Application Server. PaperCut heeft actieve exploitatie en meerdere incidenten bij klanten bevestigd, en volgens de analyse van Rapid7 circuleert er al een Metasploit-module die blootstelling aan de keten valideert.

Wie er blootstaat

PaperCut NG en MF zijn printbeheerplatforms die door meer dan 70.000 organisaties wereldwijd worden gebruikt, waaronder scholen, overheidsinstanties, bedrijven en de MSP's die ze beheren. Alle versies van NG en MF werden vóór de huidige fix als mogelijk getroffen aangemerkt, en een PaperCut-server staat dicht bij authenticatie, quota en documentworkflows -- een nuttig steunpunt als hij wordt gecompromitteerd.

Wat u deze week moet doen

• Inventariseer elke Application Server in uw omgeving, inclusief site- en secundaire servers, niet alleen de primaire instantie.
• Upgrade naar 26.0.5, 25.0.13 of 24.1.10 afhankelijk van uw branch -- deze vervangen de eerdere noodpatches Release 1-3 en bevatten extra hardening.
• Beperk tot de upgrade is uitgevoerd de webbeheerinterface van de Application Server tot uitsluitend vertrouwde administratieve netwerken.
• Als compromittering wordt vermoed, is het advies van PaperCut om opnieuw op te bouwen vanaf een bekende schone back-up in plaats van te vertrouwen op een in-place fix.

CISA's deadline van 14 september is een bindende vereiste voor Amerikaanse federale civiele instanties, geen universele -- maar met bevestigde exploitatie en een openbare exploitketen zou elke andere PaperCut-beheerder het als hetzelfde operationele doel moeten behandelen.

Bronnen: PaperCut security bulletin, CISA KEV alert, Rapid7 analysis.