Łańcuch luk PaperCut NG/MF na liście zaległości CISA — załataj do nowych wersji

PaperCut zastąpił swoje awaryjne poprawki formalnymi wydaniami maintenance — 26.0.5, 25.0.13 i 24.1.10 — dla PaperCut NG i PaperCut MF, zamykając dwie połączone luki, które CISA dodała do katalogu znanych wykorzystywanych podatności 31 sierpnia. Federalny termin naprawczy, 14 września, już minął.

Dwie luki, jeden łańcuch exploitów

CVE-2026-81578 (CVSS 8.8) to luka braku uwierzytelnienia w internetowym interfejsie zarządzania: żądania skierowane do funkcji administracyjnych mogą wywołać działania zaplecza, zanim zakończą się kontrole dostępu, co pozwala nieuwierzytelnionemu atakującemu zmienić konfigurację systemu. CVE-2026-82078 (CVSS 9.4) to osobny, poważniejszy problem w narzędziach połączeń z bazą danych, które tworzą instancje klas sterowników z konfigurowalnej nazwy bez sprawdzania jej względem listy dozwolonych — atakujący, który może dosięgnąć tego ustawienia, może doprowadzić do wykonania dowolnego kodu bajtowego Javy w procesie serwera PaperCut.

Połączone ze sobą obie luki dają nieuwierzytelnionemu atakującemu ścieżkę do zdalnego wykonania kodu na serwerze aplikacji. PaperCut potwierdził aktywne wykorzystanie i wiele incydentów u klientów, a według analizy Rapid7 moduł Metasploit sprawdzający podatność na ten łańcuch już krąży.

Kto jest narażony

PaperCut NG i MF to platformy do zarządzania drukiem używane przez ponad 70 000 organizacji na całym świecie, w tym szkoły, agencje rządowe, przedsiębiorstwa i zarządzających nimi dostawców usług MSP. Wszystkie wersje NG i MF zostały oznaczone jako potencjalnie zagrożone przed obecną poprawką, a serwer PaperCut znajduje się blisko uwierzytelniania, limitów i przepływów dokumentów — to przydatny przyczółek w razie przejęcia.

Co zrobić w tym tygodniu

• Zinwentaryzuj każdy serwer aplikacji w swoim środowisku, w tym serwery lokalne i pomocnicze, nie tylko instancję główną.
• Zaktualizuj do 26.0.5, 25.0.13 lub 24.1.10 w zależności od gałęzi — te wersje zastępują wcześniejsze awaryjne poprawki Release 1-3 i zawierają dodatkowe wzmocnienia.
• Do czasu aktualizacji ogranicz dostęp do internetowego interfejsu zarządzania serwera aplikacji wyłącznie do zaufanych sieci administracyjnych.
• Jeśli podejrzewasz przejęcie, wytyczne PaperCut zalecają odbudowę ze znanej czystej kopii zapasowej zamiast ufania poprawce w miejscu.

Termin 14 września wyznaczony przez CISA jest wiążący dla amerykańskich federalnych agencji cywilnych, a nie uniwersalny — ale przy potwierdzonym wykorzystaniu i publicznym łańcuchu exploitów każdy inny operator PaperCut powinien traktować go jako ten sam cel operacyjny.

Źródła: biuletyn bezpieczeństwa PaperCut, alert CISA KEV, analiza Rapid7.