PaperCut випустила другий терміновий патч для усунення вразливостей

Компанія PaperCut випустила другий екстрений патч безпеки для двох вразливостей, що активно використовувалися, у своєму програмному забезпеченні для керування друком PaperCut NG та MF. Це сталося після того, як дослідники виявили численні способи обходу попередніх виправлень.

Як повідомляв BleepingComputer, PaperCut попереджав про те, що хакери використовують уязвимість у атаках нульового дня проти серверів клієнтів, і випустив перше екстрене виправлення для версій PaperCut NG/MF 25 і 26.

На той час компанія не розкривала ідентифікатори CVE або технічні деталі щодо вразливостей, заявляючи, що приховує інформацію, поки розслідує атаки та дає клієнтам час для застосування екстрених виправлень.

Наразі PaperCut поділилася технічними деталями та ідентифікаторами CVE для двох вразливостей, що мають коди CVE-2026-82078 та CVE-2026-81578. Ці вразливості можуть бути використані послідовно для обходу автентифікації та виконання коду на вразливих серверах.

CVE-2026-81578 — це вразливість обходу автентифікації високого рівня (8.8), яка впливає на веб-інтерфейс керування PaperCut NG/MF.

«За певних умов неавторизовані віддалені запити, спрямовані на адміністративні функції, можуть ініціювати бекенд-дії до завершення перевірок доступу», — пояснює оновлена консультація PaperCut.

Друга вразливість, CVE-2026-82078, є критичною вразливістю незахищеного динамічного завантаження класів (9.4), яка існує в утилітах підключення до бази даних PaperCut.

Додаток завантажує класи драйверів бази даних на основі настроюваних імен драйверів без перевірки їх на відповідність затвердженому списку.

«Якщо зловмисник може маніпулювати параметрами конфігурації системи, це дозволяє виконувати довільний байт-код Java, що знаходиться в системі класів програми, під контекстом безпеки процесу сервера PaperCut», — пояснює PaperCut.

Компанія з кібербезпеки watchTowr, яка співпрацює з PaperCut під час інциденту, повідомила в LinkedIn, що вразливості дозволяють неавторизованим зловмисникам обходити автентифікацію та отримувати віддалене виконання коду на уражених екземплярах PaperCut NG/MF.

Випущено другий екстрений патч

У п’ятницю PaperCut випустила Emergency Patch Release 2 — оновлене виправлення безпеки, що містить додаткові заходи зміцнення, розроблені після подальшого аналізу з її внутрішньою командою безпеки та дослідниками з Huntress і watchTowr.

«Після подальшої роботи з нашою внутрішньою командою безпеки та зовнішніми дослідниками, включно з Huntress і watchTowr, ми випустили оновлений екстрений патч (Release 2), який містить додаткові заходи зміцнення, що виходять за рамки оригінального екстреного патчу», — заявили в PaperCut.

Компанія закликає всіх клієнтів встановити Release 2, навіть якщо вони вже встановили перший екстрений патч.

Другий реліз випущено після того, як watchTowr заявила, що її дослідники повністю відтворили вразливості, виявили численні обходи патчів і ідентифікували додаткову вразливість обходу автентифікації.

Huntress, яка співпрацює з PaperCut під час інциденту, повідомляє, що спостерігала експлуатацію у двох середовищах клієнтів та відтворила повний ланцюг RCE до автентифікації.

Компанія повідомила BleepingComputer, що журнали PaperCut зафіксували команди, використані зловмисниками для розвідки системи, а файли Java `.class` у форматі hex, знайдені в журналах, слугували мостом RCE між PaperCut та основною операційною системою, дозволяючи виконувати команди та читати/записувати файли.

Команди, які спостерігала Huntress, використовувалися для розвідки, а не для розгортання шкідливого програмного забезпечення або встановлення постійності.

Huntress також повідомляє, що виявила численні обходи оригінальних екстрених патчів та додаткову вразливість обходу автентифікації, яку вони передали PaperCut.

Emergency Patch Release 2 доступний для PaperCut NG та MF версій 24, 25 та 26 на Windows, Linux та macOS. Клієнтам, які використовують версію 23 або старішу, рекомендується оновитися до останньої версії, а не чекати патча для цих випусків.

PaperCut заявляє, що серверні сервери Site Servers та вторинні/друковані сервери також повинні бути оновлені до виправлених версій. Інші компоненти, такі як Print Deploy та Mobility Print, не уражені і не потребують оновлень.

Навіть незважаючи на наявність патчів, PaperCut закликає клієнтів обмежити доступ до веб-інтерфейсів з довірених IP-адрес за допомогою правил брандмауера, контролю мережевого доступу або еквівалентних заходів.

Адміністратори також повинні шукати підозрілу активність після експлуатації з боку процесу pc-app.exe, відсутні або обрізані файли server.log, а також наступні помилки у server.log.

ERROR No suitable driver found for jdbc:no:xERROR DatabaseUtils – Database error looking up cardID: VALUES CAST

Компанія не розкриває, хто стоїть за атаками, або що роблять зловмисники після компрометації вразливих серверів.

PaperCut повідомила BleepingComputer, що атаки здаються обмеженими та цілеспрямованими, і що вони приховують деталі щодо діяльності після експлуатації, продовжуючи розслідування.

«Наше розслідування того, що роблять зловмисники після компрометації, триває, і передчасні деталі можуть ускладнити власну відповідь постраждалих клієнтів», — заявили в PaperCut.

«Що ми можемо сказати: бюлетень радить клієнтам стежити за сповіщеннями систем виявлення вторгнень, кінцевих точок або мережевого моніторингу, пов’язаними з сервером додатків PaperCut, і ми опублікуємо індикатори компрометації, як тільки вони будуть перевірені».

Сервери PaperCut раніше зазнавали атак у 2023 році після того, як зловмисники почали використовувати CVE-2023-27350 — вразливість обходу автентифікації та віддаленого виконання коду.

Ці атаки зрештою були пов’язані з численними зловмисниками, включаючи операції з вимаганням Clop і LockBit, групи хакерів, що підтримуються державою Ірану, і Bl00dy Ransomware Gang.

Оновлення: додано інформацію від Huntress.

Загалом, показники запобігання можуть приховувати те, що відбувається після первинного доступу. Як тільки зловмисники використовують дійсні облікові дані, блокується лише 37% їхніх дій.

Blue Report 2026 вимірює методи захисту окремо, використовуючи 338 мільйонів симуляцій, проведених у виробничих середовищах клієнтів.

Get the report

PaperCut warns of NG, MF flaw exploited in zero-day attacks

Cisco warns of FMC static credential flaw exploited in zero-day attacks

Arista patches VeloCloud Orchestrator zero-day exploited in attacks

Check Point warns of SmartConsole zero-day exploited in attacks

SonicWall SMA1000 flaws exploited as zero-days to push custom malware

Actively Exploited
CVE-2026-81578
CVE-2026-82078
PaperCut
Vulnerability
Zero-Day
Zero-day Attack

Lawrence Abrams

Lawrence Abrams is the owner and Editor in Chief of BleepingComputer.com. Lawrence’s area of expertise includes Windows, malware removal, and computer forensics. Lawrence Abrams is a co-author of the Winternals Defragmentation, Recovery, and Administration Field Guide and the technical editor for Rootkits for Dummies.