CVE-2026-82078
Existe una vulnerabilidad de carga dinámica de clases insegura en las utilidades de conexión a bases de datos de PaperCut MF y PaperCut NG. La aplicación instancia clases de drivers de bases de datos basadas en nombres de drivers configurables sin validarlas contra una allowlist de drivers aprobados. Si un atacante puede manipular los parámetros de configuración del sistema, esto permite la ejecución de bytecode Java arbitrario residente en el classpath de la aplicación bajo el contexto de seguridad del proceso del servidor PaperCut.
Explotada activamente
- En el catálogo CISA de vulnerabilidades explotadas desde el 31 ago 2026
- Las agencias federales de EE. UU. deben corregirla antes del 14 sept 2026 (BOD 22-01)
- Atacada 1 día antes de que la vulnerabilidad se hiciera pública
- Confirmada por sensores, no solo por informes
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fuente: CISA KEV · 15 oct 2026 13 oct 2026 28 sept 2026 9 sept 2026 9 sept 2026 9 sept 2026
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HProductos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| papercut | papercut mf | < 24.1.9 |
| papercut | papercut ng | < 24.1.9 |
Artículos relacionados
La explotación de FortiMail y NetScaler acelera la aplicación urgente de parches en las empresas
CISA alerta de exploits activos en FortiMail y NetScaler. Empresas deben aplicar parches urgentes, revisar SAML y mitigar riesgos críticos.
Una campaña de PaperCut orquestada por IA compromete 395 organizaciones en todo el mundo
Agentes de IA explotaron fallos críticos de PaperCut en 395 organizaciones de 48 países, robando credenciales y logrando acceso de administrador.
PostgreSQL, una vulnerabilidad en el logical decoding permite ejecutar código como el usuario `postgres`
PostGREShell CVE-2026-6471 permite ejecutar código como postgres vía logical decoding con rol REPLICATION. Actualiza a versiones 14.24 a 18.6.
Sangoma Switchvox bajo ataque: una inyección SQL crítica permite la ejecución remota de código
CVE-2026-9586 en Sangoma Switchvox permite inyección SQL sin autenticación y RCE. Actualiza a 8.4.0.2 y busca IoC en /pa antes del 5 de septiembre.
PaperCut: dos zero-day explotadas, doble parche de emergencia
Descubra las dos vulnerabilidades zero-day explotadas en PaperCut, los parches de emergencia emitidos y qué hacer para proteger su sistema.
PaperCut bajo ataque: dos fallas permiten RCE preautenticación, es una carrera por parches
PaperCut vulnerability crítica permite RCE preautenticación. Explotación activa confirmada, parches críticos disponibles. Defienda su sistema.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.