PaperCut NG/MF-sårbarhetskedja på CISA:s försenade lista -- uppdatera nu

Två kedjade sårbarheter i PaperCut NG/MF möjliggör oautentiserad fjärrkodexekvering och utnyttjas redan; den federala uppdateringsdeadlinen passerade den 14 september.

I den här artikeln

Två sårbarheter, en utnyttjningskedja
Vem är exponerad
Vad du bör göra den här veckan

PaperCut har ersatt sina nöduppdateringar med formella underhållsreleaser -- 26.0.5, 25.0.13 och 24.1.10 -- för PaperCut NG och PaperCut MF, vilket täpper till två kedjade sårbarheter som CISA lade till i sin Known Exploited Vulnerabilities-katalog den 31 augusti. Den federala åtgärdsdeadlinen den 14 september har redan passerat.

Två stora vita multifunktionsskrivare för kontor med pekskärm och pappersfack framför gröna växter — Foto: Dinkun Chen (CC BY-SA 4.0), Wikimedia Commons.

Två sårbarheter, en utnyttjningskedja

CVE-2026-81578 (CVSS 8.8) är en saknad autentiseringssårbarhet i det webbaserade administrationsgränssnittet: förfrågningar som riktas mot administrativa funktioner kan utlösa backend-åtgärder innan åtkomstkontroller slutförs, vilket låter en oautentiserad angripare ändra systemkonfigurationen. CVE-2026-82078 (CVSS 9.4) är ett separat, allvarligare problem i databasanslutningsverktygen, som instansierar drivrutinsklasser från ett konfigurerbart namn utan att validera det mot en tillåtelselista -- en angripare som kan nå den inställningen kan få godtycklig Java-bytekod exekverad under PaperCut-serverprocessen.

Kedjade tillsammans ger de två sårbarheterna en oautentiserad angripare en väg till fjärrkodexekvering på Application Server. PaperCut har bekräftat aktivt utnyttjande och flera kundincidenter, och enligt Rapid7:s analys cirkulerar redan en Metasploit-modul som validerar exponering för kedjan.

Vem är exponerad

PaperCut NG och MF är plattformar för utskriftshantering som används av mer än 70 000 organisationer världen över, inklusive skolor, myndigheter, företag och de MSP:er som hanterar dem. Alla versioner av NG och MF flaggades som potentiellt påverkade före den aktuella åtgärden, och en PaperCut-server ligger nära autentisering, kvoter och dokumentflöden -- ett användbart fotfäste om den komprometteras.

Vad du bör göra den här veckan

Inventera alla Application Server i din miljö, inklusive plats- och sekundärservrar, inte bara den primära instansen.
Uppgradera till 26.0.5, 25.0.13 eller 24.1.10 beroende på din gren -- dessa ersätter de tidigare nöduppdateringarna Release 1-3 och inkluderar ytterligare härdning.
Begränsa tills du har uppgraderat Application Server:s webbadministrationsgränssnitt till endast betrodda administrativa nätverk.
Om kompromiss misstänks är PaperCuts rekommendation att återställa från en känd ren backup istället för att lita på en åtgärd på plats.

CISA:s deadline den 14 september är ett bindande krav för federala civila myndigheter i USA, inte ett universellt sådant -- men med bekräftat utnyttjande och en offentlig utnyttjningskedja bör alla andra PaperCut-operatörer behandla den som samma operativa mål.

Källor: PaperCut säkerhetsbulletin, CISA KEV-alert, Rapid7-analys.