CVE-2026-82078
Une vulnérabilité de chargement dynamique de classes non sécurisé existe dans les utilitaires de connexion à la base de données de PaperCut MF et PaperCut NG. L'application instancie des classes de pilotes de base de données basées sur des noms de pilotes configurables sans validation par rapport à une liste d'autorisation de pilotes approuvés. Si un attaquant peut manipuler les paramètres de configuration du système, cela permet l'exécution de bytecode Java arbitraire résidant sur le classpath de l'application sous le contexte de sécurité du processus serveur PaperCut.
Activement exploitée
- Dans le catalogue CISA des vulnérabilités exploitées depuis le 31 août 2026
- Les agences fédérales américaines doivent la corriger avant le 14 sept. 2026 (BOD 22-01)
- Attaquée 1 jour avant la divulgation publique de la faille
- Confirmée par des capteurs, pas seulement par des signalements
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Source : CISA KEV · 15 oct. 2026 13 oct. 2026 28 sept. 2026 9 sept. 2026 9 sept. 2026 9 sept. 2026
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| papercut | papercut mf | < 24.1.9 |
| papercut | papercut ng | < 24.1.9 |
Articles liés
L’exploitation de FortiMail et NetScaler impose un cycle de correctifs urgent aux entreprises
FortiMail et NetScaler exploités activement : faille critique CVE-2026-104286 et CVE-2026-88779 ajoutées au KEV CISA, patch urgent requis.
Une campagne PaperCut orchestrée par l’IA compromet 395 organisations dans le monde
Des agents IA ont exploité deux failles critiques PaperCut, compromettant 440 serveurs de 395 organisations dans 48 pays en quelques heures.
PostgreSQL, une faille du logical decoding permet d’exécuter du code en tant qu’utilisateur `postgres`
CVE-2026-6471 PostGREShell : une faille du logical decoding PostgreSQL permet d'exécuter du code en postgres via un compte REPLICATION.
Sangoma Switchvox sous attaque : une injection SQL critique permet l’exécution de code à distance
CVE-2026-9586 : faille injection SQL critique sur Sangoma Switchvox exploitée, exécution de code à distance. Mettez à jour vers 8.4.0.2.
PaperCut : deux zero-day exploitées, double correctif d'urgence
PaperCut publie deux correctifs d'urgence pour des zero-day exploitées (CVE-2026-81578 et CVE-2026-82078). Mises à jour et mesures à prendre.
PaperCut sous attaque : deux failles permettent une RCE pré-authentification, la course aux correctifs est lancée
Exploitation active de deux failles dans PaperCut permettant une RCE pré-authentification. Découvrez les indicateurs de compromission et les mesures à prendre.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.