CVE-2026-82078
Esiste una vulnerabilità di caricamento dinamico non sicuro delle classi nelle utilità di connessione al database di PaperCut MF e PaperCut NG. L'applicazione istanzia classi di driver di database basate su nomi di driver configurabili senza convalidarle rispetto a un'allowlist di driver approvati. Se un attaccante è in grado di manipolare i parametri di configurazione di sistema, ciò consente l'esecuzione di bytecode Java arbitrario presente nel classpath dell'applicazione nel contesto di sicurezza del processo server di PaperCut.
Sfruttata attivamente
- Nel catalogo CISA delle vulnerabilità sfruttate dal 31 ago 2026
- Le agenzie federali statunitensi devono correggerla entro il 14 set 2026 (direttiva BOD 22-01)
- Attaccata 1 giorno prima che la vulnerabilità fosse resa pubblica
- Confermata dai sensori, non solo da segnalazioni
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fonte: CISA KEV · 15 ott 2026 13 ott 2026 28 set 2026 9 set 2026 9 set 2026 9 set 2026
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HProdotti coinvolti
| Vendor | Prodotto | Versioni |
|---|---|---|
| papercut | papercut mf | < 24.1.9 |
| papercut | papercut ng | < 24.1.9 |
Articoli correlati
Gli attacchi a FortiMail e NetScaler impongono alle aziende un ciclo urgente di aggiornamenti
FortiMail e NetScaler sotto attacco attivo: vulnerabilità critiche in KEV CISA impongono patch immediate, triage forense e verifica esposizione Internet.
Una campagna orchestrata dall’AI contro PaperCut compromette 395 organizzazioni nel mondo
Campagna AI russofona sfrutta vulnerabilità PaperCut NG/MF per RCE: 440 server compromessi, credenziali rubate e 12 domini violati in 48 Paesi.
PostgreSQL, falla nel logical decoding permette di eseguire codice come utente `postgres`
CVE-2026-6471 PostGREShell permette RCE come postgres via logical decoding. Versioni colpite, attacco con dlopen e patch whitelist spiegate.
Sangoma Switchvox sotto attacco: SQL injection critica consente l’esecuzione di codice da remoto
CVE-2026-9586 in Sangoma Switchvox sfruttata attivamente: SQL injection via PhoneIP su /pa consente RCE. Aggiorna a 8.4.0.2 e verifica compromissione.
PaperCut: due zero-day sfruttate, doppio fix d'emergenza
PaperCut rilascia patch d'emergenza per due zero-day critiche. CVE-2026-81578 e CVE-2026-82078 permettono bypass autenticazione ed esecuzione codice. Aggiornare subito.
PaperCut sotto attacco: due falle consentono RCE pre-autenticazione, è corsa alle patch
Due falle in PaperCut permettono RCE pre-autenticazione con sfruttamento attivo confermato. È urgente applicare le patch per evitare compromissioni.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.