PaperCut: exploitation zero-day confermata su tutte le versioni NG e MF

PaperCut Software ha confermato il 27 agosto 2026 l'exploitation attiva in zero-day di una vulnerabilità non divulgata che colpisce tutte le versioni di PaperCut NG e PaperCut MF. Il vendor è a conoscenza di confirmed customer incidents e ha classificato l'incidente come highest priority, rilasciando patch di emergenza per i server esposti a Internet. L'assenza di identificatore CVE e di dettagli tecnici completi rende la mitigazione complessa per le organizzazioni che non possono isolare immediatamente i sistemi.

Una zero-day riprodotta in casa, senza CVE né vettore pubblico

Il security response team di PaperCut è riuscito a riprodurre la vulnerabilità internamente, sfruttando informazioni trasmesse da un cliente del settore universitario. Questo elemento è rilevante: la riproducibilità conferma la reale pericolosità della flaw, ma il vendor ha scelto di non divulgare pubblicamente né la classe di vulnerabilità né il meccanismo di exploitation. L'assenza di identificativo CVE e di punteggio CVSS impedisce alle organizzazioni di inserire la minaccia nei propri framework di risk scoring standard.

Le fonti primarie concordano sul fatto che la vulnerabilità sia remotamente exploitabile su server pubblicamente esposti. HelpNetSecurity riporta la raccomandazione diretta di PaperCut: «If your PaperCut NG/MF Application Server is accessible from the public internet, immediately restrict web access to trusted IP addresses only». La stessa fonte evidenzia che l'esposizione Internet è il fattore di rischio determinante, non una specifica configurazione errata o una versione obsoleta.

Il vendor ha rilasciato what patch di emergenza definite appunto emergency patches, ma non ha comunicato quali versioni le integrino né se siano disponibili tramite il canale di aggiornamento automatico standard. Questa opacità operativa costringe gli amministratori di sistema a contattare direttamente il supporto PaperCut per verificare lo stato dei propri sistemi.

Gli IoC noti: tre segnali di compromissione da monitorare

PaperCut ha fornito un set ridotto ma specifico di indicatori di compromissione, ripreso da entrambe le fonti primarie. Il primo riguarda attività sospetta dal processo legittimo pc-app.exe: un'esecuzione anomala del binario principale dell'Application Server che potrebbe indicare exploit con successiva esecuzione di codice nel contesto del processo. Il secondo è la modifica, cancellazione o assenza del file server.log, che suggerisce tentativi di occultamento delle tracce da parte degli attori di minaccia.

Il terzo indicatore è un errore di database specifico: ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST. Questa stringa nei log potrebbe riflettere tentativi di injection o manipolazione di parametri interni all'applicazione. PaperCut ha esplicitamente avvertito che l'assenza di questi IoC non esclude una compromissione, ampliando il perimetro di incertezza per le operazioni di threat hunting.

Non sono stati divulgati né l'identità degli attori di minaccia né le attività post-compromissione osservate. Il dossier non specifica se gli attacchi abbiano comportato furto di dati, deploy di ransomware o accesso persistente alle reti vittima.

Il precedente del 2023: authentication bypass, RCE e escalation ransomware

La zero-day del 2026 riattiva un pattern già osservato nel marzo-aprile 2023, quando PaperCut fu bersaglio di exploitation massiccia attraverso due vulnerabilità catalogate: CVE-2023-27350 (CVSS 9.8, CRITICAL) e CVE-2023-27351. Secondo l'advisory di Trend Micro, la prima consisteva in un improper access control authentication bypass che non richiedeva autenticazione e poteva condurre a Remote Code Execution.

Le advisory ZDI-23-233 e ZDI-23-232, pubblicate con release coordinata il 14 marzo 2023, identificavano le flaw rispettivamente nella classe SetupCompleted e nel SecurityRequestFilter. L'advisory ZDI-23-233 specificava che un attaccante poteva bypass authentication and execute arbitrary code in the context of SYSTEM. Nelle settimane successive, secondo report storici di HelpNetSecurity, l'exploitation fu attribuita a gruppi ransomware tra cui Clop e LockBit, oltre ad attori APT iraniani e alla Bl00dy Ransomware Gang.

Questi dettagli storici sono pertinenti come contesto di lettura, ma non devono essere sovrapposti alla zero-day 2026: PaperCut non ha indicato correlazioni tecniche tra la nuova vulnerabilità e le precedenti CVE-2023-27350/27351, né ha rilasciato informazioni che permettano di stabilirle autonomamente.

"PaperCut Software security response team is investigating active exploitation of a vulnerability affecting PaperCut NG and PaperCut MF. We are aware of confirmed customer incidents and are treating this matter with the highest priority."

Cosa fare adesso

• Restringere l'accesso web dell'Application Server a indirizzi IP attendibili, tramite firewall rules o network access controls, come raccomandato esplicitamente da PaperCut via HelpNetSecurity
• Verificare gli IoC documentati nel proprio ambiente: anomalie nel processo pc-app.exe, integrità del file server.log, presenza dell'errore DatabaseUtils su cardID nei log
• Contattare il supporto PaperCut per ottenere le patch di emergenza e confermare se le versioni installate siano coperte dai rilasci correttivi
• Valutare la visibilità Internet di tutte le istanze PaperCut NG/MF, inclusi server in segmenti di rete perimetrali o con accesso da VPN guest

Un ciclo che interroga il security development lifecycle

La ricorrenza dell'exploitation massiccia su PaperCut — con intervallo di poco più di tre anni tra il ciclo 2023 e la zero-day 2026 — solleva interrogativi sulla maturità del security development lifecycle del vendor. Il fatto che la nuova vulnerabilità colpisca tutte le versioni, senza eccezioni dichiarate, indica una possibile regressione architetturale o una superficie di attacco insufficientemente ridotta dopo gli incidenti precedenti.

La persistenza dell'esposizione Internet di sistemi di print management, spesso considerati infrastruttura secondaria nelle valutazioni di rischio enterprise, amplifica l'impatto. PaperCut stesso ha identificato la visibilità pubblica come condizione necessaria di exploitation, non come fattore aggravante opzionale. Per le organizzazioni che non possono isolare i server, l'assenza di dettagli tecnici trasforma la risposta in un'operazione di gestione dell'incertezza più che di containment verificato.

Il confronto con il 2023 suggerisce che la velocità di escalation possa essere rapida: le precedenti CVE videro pubblicazione di PoC pubblico, adozione da parte di ransomware-as-a-service e inserimento nella lista CISA KEV nel giro di settimane. Sebbene questa dinamica storica non costituisca evidenza predittiva per la zero-day attuale, la convergenza di fattori — software diffuso in education e enterprise, esposizione Internet frequente, meccanismo di exploitation riproducibile — configura un profilo di rischio che le difese perimetrali standard non mitigano autonomamente.

Domande frequenti

Perché PaperCut non ha assegnato un CVE alla vulnerabilità?

Il vendor non ha ancora divulgato un identificatore CVE né ha spiegato il ritardo nella pubblicazione. È prassi comune che il CVE venga richiesto o reso pubblico dopo il rilascio iniziale della patch, ma l'assenza di comunicazione ufficiale sul tema costituisce un limite documentato nel dossier.

La patch di emergenza corregge tutte le versioni o solo quelle recenti?

Il dossier non specifica quali versioni ricevano la patch di emergenza. PaperCut ha dichiarato che la vulnerabilità colpisce tutte le versioni di PaperCut NG e MF, ma non ha pubblicato un elenco di release corrette. Gli amministratori devono verificare direttamente con il vendor.

Gli indicatori del 2023 sono utili per rilevare la zero-day 2026?

Gli IoC forniti per la zero-day 2026 sono specifici e diversi dai pattern di exploitation documentati nel 2023. PaperCut ha avvertito che l'assenza di IoC noti non esclude compromissione, rendendo inefficace qualsiasi strategia di detection basata esclusivamente su regole storiche.

Fonti

• https://www.bleepingcomputer.com/news/security/papercut-warns-of-ng-mf-flaw-exploited-in-zero-day-attacks/
• https://www.helpnetsecurity.com/2026/08/27/papercut-ng-mf-vulnerability-attack/
• https://www.infosecurity-magazine.com/news/australia-exploitation-teamcity/
• https://www.papercut.com/kb/Main/PO-1216-and-PO-1219/
• https://success.trendmicro.com/en-US/solution/KA-0014401
• https://www.armis.com/blog/breaking-down-cisas-top-routinely-exploited-vulnerabilities/
• https://www.zerodayinitiative.com/advisories/ZDI-23-233/
• https://www.zerodayinitiative.com/advisories/ZDI-23-232/
• https://www.helpnetsecurity.com/2023/04/27/papercut-lockbit-clop/
• https://www.helpnetsecurity.com/2023/04/25/cve-2023-27350-poc/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti