Cadeia de falhas do PaperCut NG/MF está com prazo vencido na CISA — atualize já

A PaperCut substituiu as correções de emergência por versões de manutenção oficiais — 26.0.5, 25.0.13 e 24.1.10 — para o PaperCut NG e o PaperCut MF, corrigindo duas vulnerabilidades encadeadas que a CISA adicionou ao seu catálogo de Vulnerabilidades Conhecidas Exploradas a 31 de agosto. O prazo federal de remediação, 14 de setembro, já terminou.

Duas falhas, uma cadeia de exploração

CVE-2026-81578 (CVSS 8.8) é uma falha por falta de autenticação na interface de gestão web: pedidos destinados a funções administrativas podem desencadear ações de back-end antes de as verificações de acesso terminarem, permitindo que um atacante não autenticado altere a configuração do sistema. CVE-2026-82078 (CVSS 9.4) é um problema separado e mais grave nos utilitários de ligação à base de dados, que instanciam classes de driver a partir de um nome configurável sem o validar contra uma lista de permissões — um atacante que consiga alcançar essa definição pode conseguir que bytecode Java arbitrário seja executado no processo do servidor PaperCut.

Em conjunto, as duas falhas dão a um atacante não autenticado um caminho para a execução remota de código no Servidor de Aplicações. A PaperCut confirmou a exploração ativa e múltiplos incidentes com clientes e, de acordo com a análise da Rapid7, já circula um módulo Metasploit que valida a exposição à cadeia.

Quem está exposto

O PaperCut NG e o MF são plataformas de gestão de impressão utilizadas por mais de 70 000 organizações em todo o mundo, incluindo escolas, agências governamentais, empresas e os MSP que as gerem. Todas as versões do NG e do MF foram assinaladas como potencialmente afetadas antes da correção atual, e um servidor PaperCut está próximo da autenticação, das quotas e dos fluxos de trabalho documentais — um ponto de apoio útil se for comprometido.

O que fazer esta semana

• Faça o inventário de todos os Servidores de Aplicações no seu parque, incluindo servidores de site e secundários, e não apenas da instância primária.
• Atualize para as versões 26.0.5, 25.0.13 ou 24.1.10, consoante o seu ramo — estas versões substituem as correções de emergência anteriores Release 1-3 e incluem reforço adicional.
• Até à atualização, restrinja a interface de gestão web do Servidor de Aplicações apenas a redes administrativas fidedignas.
• Se houver suspeita de comprometimento, a orientação da PaperCut é reconstruir a partir de uma cópia de segurança reconhecidamente limpa, em vez de confiar numa correção no local.

O prazo de 14 de setembro da CISA é um requisito vinculativo para as agências civis federais dos EUA, não universal — mas, com exploração confirmada e uma cadeia de exploração pública, todos os outros operadores do PaperCut devem tratá-lo como o mesmo objetivo operacional.

Fontes: boletim de segurança da PaperCut, alerta CISA KEV, análise da Rapid7.