Zero-day su PaperCut NG e MF: sfruttata attivamente, tutte le versioni a rischio

Una nuova falla senza CVE e con compromissioni confermate

Il 27 agosto 2026 è emerso che PaperCut Software ha diffuso un avviso urgente su una vulnerabilità sfruttata come zero-day contro clienti PaperCut. La falla interessa tutte le versioni di PaperCut NG e PaperCut MF e riguarda il PaperCut Application Server, in particolare le installazioni con interfaccia web esposta a Internet. Non è stata ancora assegnata una CVE e non sono stati divulgati dettagli tecnici sulla falla né sul vettore di exploit.

PaperCut conferma incidenti su clienti e considera la questione prioritaria. Il team di sicurezza ha riprodotto la vulnerabilità usando informazioni fornite da un cliente universitario. Non sono stati rivelati attori, azioni post-compromissione o eventuale esfiltrazione di dati. Non è noto quando siano iniziate le compromissioni.

Non sono disponibili punteggio CVSS o classificazione CWE per la nuova falla. La rilevanza operativa deriva dallo sfruttamento attivo e dall’estensione a tutte le versioni.

Le contromisure immediate: firewall e patch di emergenza

PaperCut ha rilasciato patch di emergenza per i clienti con server PaperCut NG/MF pubblici che non possono adottare altre contromisure. La prima indicazione è limitare subito l’accesso all’interfaccia web degli Application Server esposti ai soli IP fidati, tramite regole firewall o controlli di accesso di rete. Se non è possibile applicare restrizioni, si raccomanda di installare le patch di emergenza.

Non ci sono ancora dettagli sul meccanismo di exploit: PaperCut non ha spiegato se si tratti di bypass dell’autenticazione, esecuzione di codice o altro. L’assenza di un CVE rende più difficile il tracciamento automatico per i team di sicurezza, ma la priorità operativa resta ridurre l’esposizione e aggiornare.

Indicatori di compromissione da cercare

PaperCut ha segnalato alcuni indicatori per la campagna corrente:

• attività sospetta dal processo legittimo pc-app.exe;
• file server.log modificati, eliminati o mancanti;
• errori in server.log: ERROR No suitable driver found for jdbc:no:x e ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST.

L’assenza di questi indicatori non esclude la compromissione. PaperCut ha precisato che l’advisory sarà aggiornato con ulteriori IOC e indicazioni di remediation.

Il precedente: CVE-2023-27350, critica 9.8 e usata in ransomware

La nuova zero-day non arriva su un prodotto senza storia. Nell’aprile 2023 è iniziato lo sfruttamento attivo di CVE-2023-27350, una vulnerabilità critica con punteggio CVSS 9.8 e vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. La falla permetteva ad attaccanti remoti di bypassare l’autenticazione su installazioni PaperCut NG 22.0.5 (Build 63914) e di eseguire codice arbitrario nel contesto SYSTEM. Il difetto risiedeva nella classe SetupCompleted, causato da un controllo degli accessi improprio (CWE-284). Il riferimento ZDI era ZDI-CAN-18987.

Le versioni interessate da CVE-2023-27350 erano PaperCut MF e PaperCut NG anteriori alla 20.1.7. Il 21 aprile 2023 la CISA ha inserito la vulnerabilità nel catalogo KEV, con scadenza di remediation per le agenzie federali USA il 12 maggio 2023. L’azione richiesta era applicare gli aggiornamenti secondo le istruzioni del vendor.

CVE-2023-27350 risulta usata in campagne ransomware. Microsoft ha collegato alcune intrusioni all’operazione Clop, usata per accesso iniziale, e ha osservato attacchi sfociati in ransomware LockBit. Clop ha dichiarato di aver usato la falla per accesso iniziale e non per sottrarre documenti archiviati direttamente dai server PaperCut, benché la funzione Print Archiving possa conservare documenti. Microsoft ha segnalato anche gruppi di hacking iraniani sponsorizzati da Stati nell’uso della CVE. A maggio 2023, un advisory congiunto CISA/FBI ha descritto la gang ransomware Bl00dy mentre sfruttava server PaperCut vulnerabili contro il settore education.

Per la nuova zero-day, non essendo stato assegnato un CVE, non risulta al momento un inserimento nel catalogo KEV della CISA.

Che cosa fare ora

Chi gestisce server PaperCut NG o MF deve assumere che l’esposizione diretta a Internet sia il rischio principale. Le azioni immediate sono tre: restringere l’accesso all’interfaccia web ai soli indirizzi fidati, applicare le patch di emergenza dove non si può restringere, e cercare nei log gli indicatori segnalati. La ricerca va estesa anche ai sistemi dove server.log risulta mancante o alterato, perché la cancellazione dei log è essa stessa un segnale.

Non è ancora chiaro se la nuova falla abbia impatti simili a CVE-2023-27350, cioè esecuzione di codice come SYSTEM e bypass dell’autenticazione. L’estensione a tutte le versioni e le compromissioni confermate giustificano un intervento immediato, senza attendere dettagli tecnici o un CVE. PaperCut ha indicato che aggiornerà l’advisory con ulteriori IOC e indicazioni di remediation: chi ha già applicato le prime mitigazioni dovrà monitorare gli aggiornamenti.