PaperCut sotto attacco: due falle consentono RCE pre-autenticazione, è corsa alle patch

Sfruttamento attivo confermato da PaperCut e Huntress

Il 27 agosto 2026 PaperCut ha confermato lo sfruttamento attivo di una vulnerabilità di esecuzione remota di codice pre-autenticazione nei suoi prodotti MF e NG. Il team di Huntress, che ha collaborato con il vendor, ha documentato l'exploitation in due ambienti di clienti e ha riprodotto l'intera catena di attacco contro un'installazione pulita di PaperCut NG 25.0.11.75758. Huntress sta collaborando con PaperCut per l'analisi della vulnerabilità e il coordinamento della risposta. L'attività osservata si è limitata alla ricognizione di sistema: dal payload analizzato non sono emersi malware secondario, traffico command-and-control o persistenza.

La catena di attacco: accesso non autorizzato e caricamento di classi Java

La compromissione combina due vulnerabilità. La prima, CVE-2026-81578, è un errore di controllo degli accessi nell'interfaccia di gestione web di PaperCut MF e NG. La descrizione NVD spiega che, in condizioni specifiche, richieste remote non autenticate possono far scattare azioni amministrative prima che i controlli di validazione siano completati. Un attaccante può quindi modificare alcune configurazioni di sistema senza credenziali. La scheda NVD non riporta punteggio CVSS, vettore, classe CWE o inserimento nel catalogo KEV della CISA.

La seconda falla, CVE-2026-82078, riguarda le utilità database di PaperCut e consente di caricare classi Java non sicure. Questo abilita l'esecuzione di codice Java arbitrario sul server.

Huntress descrive il meccanismo come una richiesta costruita ad arte: il server mostra una pagina ma esegue un'azione proveniente da un'altra pagina. PaperCut verifica i permessi della pagina mostrata, non dell'azione realmente eseguita. L'attaccante modifica così la configurazione senza login e, combinando le due falle, arriva all'esecuzione di codice.

Versioni esposte e stato delle patch

Huntress stima che circa il 47% delle 2.500 installazioni PaperCut da essa tracciate usi ancora la versione 23 o precedente. Per queste versioni, al momento della pubblicazione del report del 30 agosto, non esiste alcuna patch. La seconda compromissione confermata ha colpito un server con versione 24, per la quale i fix erano ancora in fase di sviluppo. PaperCut ha rilasciato prima una patch di emergenza e poi un secondo aggiornamento meno di 24 ore dopo, a seguito di test aggiuntivi. La riproduzione di Huntress è avvenuta su PaperCut NG 25.0.11.75758, installazione non patchata su Windows.

Ricognizione, non ancora distruzione: cosa è stato osservato

Nei due incidenti reali documentati, gli attaccanti non hanno distribuito malware secondario né stabilito persistenza. Il primo è durato meno di due minuti e ha eseguito i comandi whoami e ver. Nel secondo è stato aggiunto tasklist per elencare i processi. Si tratta di attività tipica di system discovery: gli autori stanno mappando l'ambiente. Huntress ha però riprodotto l'esecuzione di codice remota senza autenticazione su Windows: il processo pc-app.exe ha avviato charmap.exe con privilegi SYSTEM, il massimo livello disponibile. Un attaccante che raggiunge questo livello può compromettere completamente il server. I server PaperCut esposti su internet, comuni in scuole, ospedali e uffici, sono i bersagli naturali.

Indicatori di compromissione: cosa cercare nei log e nel filesystem

In un'indagine, Huntress e la guida investigativa di PaperCut suggeriscono di cercare questi segnali:

• Un file classe Java malevola depositato direttamente nella directory di installazione di PaperCut.
• Il file .class esegue comandi, scrive l'output in un file temporaneo e cancella sia l'output sia il server.log del server.
• Il file .class elimina il proprio file Udydn.out e il server.log.
• Nel server.log compare la stringa DB URL: jdbc:derby:memory:pwn subito dopo un grande blob di dati codificato.
• Nel file /data/internal/derby.log resta la traccia memory:...\pwn; la directory database con nome pwn è considerata indicatore ad alta affidabilità.
• Comandi osservati negli attacchi reali: whoami, ver, tasklist.
• Altri elementi da verificare: pc-app.exe che lancia una shell o tasklist, file .class inattesi nella directory lib, tracce di cancellazione di server.log, la stringa jdbc:derby:memory:pwn nel log Derby.

Come difendersi e cosa fare dopo la patch

Per le versioni supportate, l'azione immediata è applicare gli aggiornamenti rilasciati da PaperCut. Per chi usa la versione 24, i fix non erano ancora pronti al 30 agosto: l'opzione più sicura è rimuovere il PaperCut Application Server dalla rete internet pubblica e consentire l'accesso solo via VPN o rete interna fidata. Lo stesso vale per le versioni 23 e precedenti, per le quali non esiste patch.

Installare la patch non deve chiudere la risposta: se il server è stato esposto pubblicamente di recente, va avviata un'indagine. Prima di riavviare il server, salvare log e file di configurazione per non perdere prove. Verificare se pc-app.exe ha avviato shell di comando o tasklist e cercare file .class inattesi nella directory lib. Anche un tentativo di ricognizione di due minuti può essere il segnale precoce di un attacco più grave.