CVE-2026-81578
Une vulnérabilité de contrôle d'accès inapproprié existe dans l'interface de gestion web de PaperCut MF et PaperCut NG. Dans des conditions spécifiques, des requêtes distantes non authentifiées ciblant des fonctions administratives peuvent déclencher des actions backend avant la fin des contrôles de validation d'accès. Cela permet à un attaquant distant non authentifié de modifier certaines configurations système.
Activement exploitée
- Dans le catalogue CISA des vulnérabilités exploitées depuis le 31 août 2026
- Les agences fédérales américaines doivent la corriger avant le 14 sept. 2026 (BOD 22-01)
- Attaquée 1 jour avant la divulgation publique de la faille
- Confirmée par des capteurs, pas seulement par des signalements
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Source : CISA KEV · 15 oct. 2026 13 oct. 2026 28 sept. 2026 9 sept. 2026 9 sept. 2026 9 sept. 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| papercut | papercut mf | < 24.1.9 |
| papercut | papercut ng | < 24.1.9 |
Articles liés
L’exploitation de FortiMail et NetScaler impose un cycle de correctifs urgent aux entreprises
FortiMail et NetScaler exploités activement : faille critique CVE-2026-104286 et CVE-2026-88779 ajoutées au KEV CISA, patch urgent requis.
Une campagne PaperCut orchestrée par l’IA compromet 395 organisations dans le monde
Des agents IA ont exploité deux failles critiques PaperCut, compromettant 440 serveurs de 395 organisations dans 48 pays en quelques heures.
PostgreSQL, une faille du logical decoding permet d’exécuter du code en tant qu’utilisateur `postgres`
CVE-2026-6471 PostGREShell : une faille du logical decoding PostgreSQL permet d'exécuter du code en postgres via un compte REPLICATION.
Sangoma Switchvox sous attaque : une injection SQL critique permet l’exécution de code à distance
CVE-2026-9586 : faille injection SQL critique sur Sangoma Switchvox exploitée, exécution de code à distance. Mettez à jour vers 8.4.0.2.
PaperCut : deux zero-day exploitées, double correctif d'urgence
PaperCut publie deux correctifs d'urgence pour des zero-day exploitées (CVE-2026-81578 et CVE-2026-82078). Mises à jour et mesures à prendre.
PaperCut sous attaque : deux failles permettent une RCE pré-authentification, la course aux correctifs est lancée
Exploitation active de deux failles dans PaperCut permettant une RCE pré-authentification. Découvrez les indicateurs de compromission et les mesures à prendre.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.