PaperCut CVE-2026-82078 e CVE-2026-81578: zero-day sul server di stampa, due patch d'emergenza in un giorno

PaperCut è già stato il vettore di una campagna di massa nel 2023, quando gruppi ransomware ne sfruttarono le falle per entrare nelle reti di scuole, università ed enti pubblici. Lo scenario si ripete. ACN ha segnalato il 31 agosto lo sfruttamento attivo di due vulnerabilità nei prodotti PaperCut NG e PaperCut MF, le soluzioni per la gestione e la contabilizzazione delle stampe: la CVE-2026-82078, di tipo unsafe reflection con CVSS v4.0 pari a 9.4, sfrutta il caricamento dinamico di classi Java basato su parametri configurabili non validati per far istanziare all'applicazione classi arbitrarie presenti nel classpath ed eseguire codice nel contesto del processo; la CVE-2026-81578, un authentication bypass con CVSS v4.0 pari a 8.8, permette a un attaccante remoto non autenticato di attivare funzioni amministrative prima che le verifiche di autenticazione siano completate.

Prese singolarmente sono gravi; concatenate danno l'esecuzione di codice remota senza alcuna credenziale sull'Application Server di PaperCut. Il vendor ha pubblicato il bollettino il 27 agosto 2026 e ha rilasciato la prima patch d'emergenza il giorno dopo per le versioni 25 e 26, seguita nella stessa giornata da una seconda patch con ulteriori irrigidimenti estesi anche alla versione 24: due rilasci in ventiquattr'ore sono una misura indiretta dell'urgenza. La CISA ha inserito entrambe le CVE nel catalogo KEV il 31 agosto 2026, e negli attacchi osservati lo sfruttamento è stato usato per furto di dati.

Vale la pena insistere sul perché un server di stampa meriti la stessa attenzione di un firewall. PaperCut è di norma installato su Windows Server, integrato con Active Directory per l'autenticazione degli utenti, raggiungibile da tutta la rete interna perché tutti devono poter stampare, e trattato come infrastruttura accessoria nei piani di patching. È la definizione di bersaglio comodo: privilegi alti, esposizione ampia, sorveglianza bassa. A doversene preoccupare sono gli enti con parchi stampa centralizzati, quindi in modo particolare amministrazioni locali, sanità, scuole e università, dove il prodotto è diffusissimo e dove l'interfaccia amministrativa è spesso raggiungibile ben oltre il gruppo che la usa. L'alert ACN rimanda agli indicatori di compromissione pubblicati dal vendor: qui la verifica retrospettiva conta quanto l'aggiornamento.

• Versioni affette: PaperCut MF e PaperCut NG nelle versioni precedenti alla 24.1.9 Emergency Patch Release 2, ramo 25.x precedente alla 25.0.12 Emergency Patch Release 2, ramo 26.x precedente alla 26.0.4 Emergency Patch Release 2.
• Azione raccomandata: applicare la seconda patch d'emergenza corrispondente al proprio ramo, non la prima, che è stata superata nella stessa giornata; limitare l'accesso all'interfaccia di amministrazione web alle sole reti di gestione e togliere qualsiasi esposizione su internet; ricercare gli indicatori di compromissione indicati nel bollettino del vendor, dato che lo sfruttamento ha preceduto la patch; verificare le utenze amministrative dell'applicazione e, in caso di sospetta compromissione, ruotare le credenziali di integrazione con Active Directory.

Fonti: ACN, Huntress, Help Net Security, Bleeping Computer