PaperCut sous attaque : deux failles permettent une RCE pré-authentification, la course aux correctifs est lancée

Exploitation active confirmée par PaperCut et Huntress

Le 27 août 2026, PaperCut a confirmé l’exploitation active d’une vulnérabilité d’exécution de code à distance (RCE) avant authentification dans ses produits MF et NG. L’équipe de Huntress, qui a collaboré avec l’éditeur, a documenté l’exploitation dans deux environnements clients et a reproduit l’intégralité de la chaîne d’attaque contre une installation vierge de PaperCut NG 25.0.11.75758. Huntress collabore actuellement avec PaperCut pour l’analyse de la vulnérabilité et la coordination de la réponse. L’activité observée s’est limitée à de la reconnaissance système : le payload analysé n’a révélé aucun malware secondaire, trafic de commande et contrôle (C2) ou mécanisme de persistance.

La chaîne d’attaque : accès non autorisé et chargement de classes Java

La compromission combine deux vulnérabilités. La première, CVE-2026-81578, est une erreur de contrôle d’accès dans l’interface de gestion web de PaperCut MF et NG. La description NVD indique que, dans certaines conditions, des requêtes distantes non authentifiées peuvent déclencher des actions administratives avant que les contrôles de validation ne soient terminés. Un attaquant peut ainsi modifier certaines configurations système sans disposer d’identifiants. La fiche NVD ne mentionne pas de score CVSS, de vecteur, de classe CWE ni d’inscription au catalogue KEV de la CISA.

La seconde faille, CVE-2026-82078, concerne les utilitaires de base de données de PaperCut et permet de charger des classes Java non sécurisées. Cela ouvre la voie à l’exécution de code Java arbitraire sur le serveur.

Huntress décrit le mécanisme comme une requête habilement forgée : le serveur affiche une page mais exécute une action provenant d’une autre page. PaperCut vérifie les permissions de la page affichée, et non de l’action réellement exécutée. L’attaquant modifie ainsi la configuration sans authentification et, en combinant les deux failles, parvient à l’exécution de code.

Versions exposées et état des correctifs

Huntress estime qu’environ 47 % des 2 500 installations PaperCut qu’elle surveille utilisent encore la version 23 ou une version antérieure. Pour ces versions, à la date de publication du rapport du 30 août, aucun correctif n’existe. La seconde compromission confirmée a touché un serveur en version 24, pour laquelle les correctifs étaient encore en cours de développement. PaperCut a d’abord publié un correctif d’urgence, puis une seconde mise à jour moins de 24 heures plus tard, après des tests supplémentaires. La reproduction de Huntress a été effectuée sur PaperCut NG 25.0.11.75758, une installation non patchée sous Windows.

Reconnaissance, pas encore de destruction : ce qui a été observé

Dans les deux incidents réels documentés, les attaquants n’ont déployé aucun malware secondaire ni établi de persistance. Le premier a duré moins de deux minutes et a exécuté les commandes whoami et ver. Dans le second, tasklist a été ajouté pour lister les processus. Il s’agit d’une activité typique de découverte système : les auteurs sont en train de cartographier l’environnement. Huntress a toutefois reproduit l’exécution de code à distance sans authentification sous Windows : le processus pc-app.exe a lancé charmap.exe avec les privilèges SYSTEM, le niveau le plus élevé disponible. Un attaquant qui atteint ce niveau peut compromettre entièrement le serveur. Les serveurs PaperCut exposés sur Internet, fréquents dans les écoles, les hôpitaux et les bureaux, constituent des cibles naturelles.

Indicateurs de compromission : que chercher dans les journaux et le système de fichiers

Lors d’une investigation, Huntress et le guide d’investigation de PaperCut recommandent de rechercher les signes suivants :

• Un fichier de classe Java malveillant déposé directement dans le répertoire d’installation de PaperCut.
• Le fichier .class exécute des commandes, écrit la sortie dans un fichier temporaire et supprime à la fois la sortie et le server.log du serveur.
• Le fichier .class supprime son propre fichier Udydn.out ainsi que le server.log.
• Dans le server.log, la chaîne DB URL: jdbc:derby:memory:pwn apparaît juste après un gros bloc de données encodées.
• Dans le fichier /data/internal/derby.log, on retrouve la trace memory:...\pwn ; la présence d’un répertoire de base de données nommé pwn est considérée comme un indicateur à haute fiabilité.
• Commandes observées lors des attaques réelles : whoami, ver, tasklist.
• Autres éléments à vérifier : pc-app.exe qui lance un shell ou tasklist, fichiers .class inattendus dans le répertoire lib, traces de suppression du server.log, chaîne jdbc:derby:memory:pwn dans le journal Derby.

Comment se défendre et que faire après le correctif

Pour les versions prises en charge, l’action immédiate consiste à appliquer les mises à jour publiées par PaperCut. Pour ceux qui utilisent la version 24, les correctifs n’étaient pas encore prêts au 30 août : l’option la plus sûre est de retirer le serveur d’application PaperCut de l’Internet public et de n’autoriser l’accès que via un VPN ou un réseau interne de confiance. Il en va de même pour les versions 23 et antérieures, pour lesquelles aucun correctif n’existe.

L’installation du correctif ne doit pas clore la réponse : si le serveur a été exposé publiquement récemment, une investigation doit être lancée. Avant de redémarrer le serveur, sauvegardez les journaux et les fichiers de configuration afin de ne pas perdre de preuves. Vérifiez si pc-app.exe a lancé un shell ou tasklist, et recherchez des fichiers .class inattendus dans le répertoire lib. Même une tentative de reconnaissance de deux minutes peut être le signe précoce d’une attaque plus grave.