Lanțul PaperCut NG/MF e restant pe lista CISA -- aplicați versiunile noi

PaperCut a înlocuit patch-urile de urgență cu versiuni formale de mentenanță -- 26.0.5, 25.0.13 și 24.1.10 -- pentru PaperCut NG și PaperCut MF, închizând două vulnerabilități înlănțuite pe care CISA le-a adăugat în catalogul de vulnerabilități cunoscute exploatate pe 31 august. Termenul federal de remediere, 14 septembrie, a expirat deja.

Două vulnerabilități, un singur lanț de exploatare

CVE-2026-81578 (CVSS 8,8) este o vulnerabilitate de lipsă a autentificării în interfața web de administrare: solicitările destinate funcțiilor administrative pot declanșa acțiuni de backend înainte ca verificările de acces să se finalizeze, permițând unui atacator neautentificat să modifice configurația sistemului. CVE-2026-82078 (CVSS 9,4) este o problemă separată, mai gravă, în utilitarele de conectare la baza de date, care instanțiază clase de driver dintr-un nume configurabil fără a-l valida față de o listă de permisiuni -- un atacator care poate ajunge la acea setare poate obține execuția de bytecode Java arbitrar în cadrul procesului serverului PaperCut.

Înlănțuite, cele două vulnerabilități oferă unui atacator neautentificat o cale către execuția de cod de la distanță pe serverul Application Server. PaperCut a confirmat exploatarea activă și mai multe incidente la clienți, iar potrivit analizei Rapid7, un modul Metasploit care validează expunerea la lanț circulă deja.

Cine este expus

PaperCut NG și MF sunt platforme de gestionare a imprimării utilizate de peste 70.000 de organizații din întreaga lume, inclusiv școli, agenții guvernamentale, întreprinderi și MSP-urile care le administrează. Toate versiunile de NG și MF au fost marcate ca potențial afectate înainte de remedierea actuală, iar un server PaperCut se află aproape de autentificare, cote și fluxuri de documente -- un punct de sprijin util dacă este compromis.

Ce trebuie să faceți săptămâna aceasta

• Inventariați fiecare Application Server din infrastructura dumneavoastră, inclusiv serverele de amplasament și secundare, nu doar instanța principală.
• Actualizați la 26.0.5, 25.0.13 sau 24.1.10, în funcție de ramura folosită -- acestea înlocuiesc patch-urile de urgență anterioare Release 1-3 și includ întăriri suplimentare.
• Până la actualizare, restricționați interfața web de administrare a serverului Application Server doar la rețele administrative de încredere.
• Dacă se suspectează compromiterea, recomandarea PaperCut este să reconstruiți dintr-o copie de rezervă cunoscută ca fiind curată, în loc să aveți încredere într-o remediere aplicată pe loc.

Termenul CISA de 14 septembrie este o cerință obligatorie pentru agențiile civile federale din SUA, nu una universală -- dar având în vedere exploatarea confirmată și un lanț public de exploatare, orice alt operator PaperCut ar trebui să îl trateze ca pe aceeași țintă operațională.

Surse: buletin de securitate PaperCut, alertă CISA KEV, analiza Rapid7.