PaperCut ha pubblicato una seconda patch di emergenza per correggere due gravi vulnerabilità sfruttate attivamente nei software PaperCut NG e MF, dopo che i ricercatori hanno individuato diversi metodi per aggirare le prime correzioni.
PaperCut ha annunciato la disponibilità di una seconda patch di emergenza per i software di gestione della stampa PaperCut NG e MF, dopo che sono emersi nuovi metodi di attacco in grado di eludere le precedenti correzioni. Le vulnerabilità, ora identificate come CVE-2026-82078 e CVE-2026-81578, sono state sfruttate in attacchi zero-day contro server di clienti, spingendo l'azienda a rilasciare rapidamente un primo aggiornamento di sicurezza per le versioni 25 e 26.
Inizialmente, PaperCut aveva scelto di non divulgare dettagli tecnici o identificativi CVE, per consentire ai clienti di applicare le patch senza fornire informazioni utili agli attaccanti. Tuttavia, dopo ulteriori analisi, sono stati pubblicati i dettagli tecnici: CVE-2026-81578 è una vulnerabilità di bypass dell'autenticazione con gravità 8.8 che interessa l'interfaccia web di amministrazione, mentre CVE-2026-82078 è una falla critica (gravità 9.4) legata al caricamento dinamico di classi non sicuro nei moduli di connessione al database.
Nuova patch dopo la scoperta di bypass e attacchi attivi
La seconda patch, denominata Emergency Patch Release 2, è stata sviluppata in collaborazione con i ricercatori di Huntress e watchTowr, che hanno contribuito a individuare diversi modi per aggirare le prime correzioni e hanno scoperto un'ulteriore vulnerabilità di bypass dell'autenticazione. Huntress ha confermato di aver osservato attacchi reali in almeno due ambienti di clienti, riuscendo a riprodurre l'intera catena di exploit per l'esecuzione di codice remoto senza autenticazione.
Le analisi hanno evidenziato che gli attaccanti sfruttano le vulnerabilità per ottenere accesso non autorizzato e lanciare comandi sul server, utilizzando file Java .class codificati in esadecimale come ponte tra PaperCut e il sistema operativo sottostante. Secondo Huntress, i comandi osservati finora sembrano essere stati usati per attività di ricognizione, senza segni di malware o persistenza.
Raccomandazioni per gli amministratori e rischi residui
La patch aggiornata è disponibile per PaperCut NG e MF nelle versioni 24, 25 e 26 su Windows, Linux e macOS. Gli utenti con versioni 23 o precedenti sono invitati a eseguire un upgrade completo, poiché non sono previsti aggiornamenti specifici per quelle release. PaperCut raccomanda inoltre di aggiornare anche i Site Server e i server secondari, mentre componenti come Print Deploy e Mobility Print non risultano affetti.
Nonostante la disponibilità delle patch, PaperCut consiglia di limitare l'accesso alle interfacce web solo a indirizzi IP fidati tramite firewall o controlli di rete, e di monitorare eventuali attività sospette legate al processo pc-app.exe o anomalie nei file di log. Tra gli errori da tenere d'occhio figurano messaggi come "ERROR No suitable driver found for jdbc:no:x" e "ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST".
L'azienda non ha ancora fornito dettagli sugli autori degli attacchi né sulle azioni compiute dopo la compromissione, ma sottolinea che gli incidenti sembrano limitati e mirati. PaperCut ha dichiarato che pubblicherà indicatori di compromissione man mano che saranno verificati, invitando i clienti a monitorare attentamente i sistemi.
Non è la prima volta che PaperCut finisce nel mirino: già nel 2023 i server erano stati presi di mira tramite la vulnerabilità CVE-2023-27350, sfruttata da diversi gruppi criminali, tra cui operatori ransomware come Clop e LockBit. Un caso simile di risposta rapida a vulnerabilità zero-day si è verificato anche con Microsoft, che ha recentemente corretto una falla critica su Windows, come raccontato nell'approfondimento su una patch urgente per la vulnerabilità LegacyHive.
