PaperCut выпустила второе экстренное обновление для устранения двух активно используемых уязвимостей в своем ПО для управления печатью PaperCut NG и MF после того, как исследователи обнаружили несколько способов обойти первоначальные исправления.
Ранее PaperCut предупреждала, что хакеры используют 0-day в атаках на серверы клиентов, и выпустила первоначальное экстренное обновление для версий PaperCut NG/MF 25 и 26.
Однако на тот момент компания не раскрыла идентификаторы CVE или технические подробности об уязвимостях, заявив, что удерживает информацию, пока расследует атаки.
Позже в обновленном сообщении предоставила технические подробности для двух уязвимостей CVE-2026-82078 и CVE-2026-81578, которые уязвимости могут быть объединены для обхода аутентификации и выполнения кода на уязвимых серверах.
CVE-2026-81578 - это уязвимость высокой степени риска обхода аутентификации с рейтингом 8.8, которая затрагивает веб-интерфейс управления PaperCut NG/MF.
При определенных условиях неаутентифицированные удаленные запросы, направленные на административные функции, могут запускать действия на бэкэнде до завершения проверок на подтверждение доступа.
Вторая CVE-2026-82078 представляет собой критическую небезопасную ошибку динамической загрузки классов с рейтингом 9.4, которая присутствует в утилитах подключения к базе данных PaperCut.
Приложение загружает классы драйверов базы данных на основе настраиваемых имен драйверов, не проверяя их на соответствие утвержденному списку разрешенных драйверов.
Если злоумышленник сможет манипулировать параметрами конфигурации системы, это позволит ему выполнять произвольный байт-код Java, находящийся в пути к классам приложения, в контексте безопасности серверного процесса PaperCut.
В свою очередь, watchTowr сообщила, что уязвимости позволяют неавторизованным злоумышленникам обходить аутентификацию и получать доступ к удаленному выполнению кода на затронутых экземплярах PaperCut NG/MF.
В пятницу PaperCut выпустила экстренный патч-релиз 2, обновленное исправление, включающее дополнительные меры защиты, разработанные после дальнейшего анализа с участием внутренней группы безопасности компании и исследователей из Huntress и watchTowr.
Второй релиз вышел после того, как watchTowr полностью воспроизвела уязвимости, обнаружив множество способов обхода патчей и выявив дополнительную уязвимость, позволяющую обойти аутентификацию.
Huntress обнаружила уязвимость в двух клиентских средах и воспроизвела полную цепочку удаленного выполнения кода до аутентификации.
В логах PaperCut были зафиксированы команды, используемые злоумышленниками для разведки системы, а обнаруженные в логах файлы Java с расширением .class в шестнадцатеричном формате действовали как мост для удаленного выполнения команд между PaperCut и базовой ОС, позволяя выполнять команды и читать или записывать файлы.
Судя по всему, команды, зафиксированные Huntress, использовались для разведки, а не для развертывания вредоносного ПО или обеспечения постоянного присутствия в системе.
Huntress также сообщила об обнаружении нескольких способов обхода первоначальных аварийных патчей, а также дополнительной уязвимости, позволяющей обойти аутентификацию, в PaperCut.
Так что последовало экстренное обновление 2 для PaperCut NG и MF версий 24, 25 и 26 на Windows, Linux и macOS. Пользователям, использующим версию 23 или более ранние, рекомендуется обновиться до последней версии, а не ждать обновления для этих релизов.
PaperCut настоятельно рекомендует клиентам ограничить доступ к веб-интерфейсам только для доверенных IP, используя правила брандмауэра, средства контроля доступа к сети или аналогичные меры.
Администраторам также следует обратить внимание на подозрительную активность процесса pc-app.exe после взлома, отсутствующие или усеченные файлы server.log, а также на следующие ошибки в файле server.log.
Компания не раскрыла, кто стоит за атаками и что делают злоумышленники после взлома уязвимых серверов. Атаки, по всей видимости, носят ограниченный и целенаправленный характер.
PaperCut
URGENT Security Advisory: PaperCut NG/MF Security Bulletin (27 Aug 2026)
Short description of what is in the security bulletin
August 31, 2026 4.6K 11
