PaperCut: doppia patch d'emergenza per zero-day attivamente sfruttati

PaperCut ha pubblicato un advisory urgente il 27 agosto 2026 confermando exploitation attiva con incidenti su clienti. Due vulnerabilità zero-day nei prodotti NG e MF — CVE-2026-81578 e CVE-2026-82078 — hanno costretto il vendor a una risposta incidentale senza precedenti: una prima patch di emergenza il 28 agosto, subito aggirata, e una seconda nelle stesse 24 ore. L'evento mette in luce i rischi di una catena RCE pre-autenticazione su software di gestione documentale esposto a internet.

La catena tecnica: da pagina di errore a shell di sistema

L'analisi tecnica di Rapid7 ricostruisce l'intera catena di attacco. Il punto di ingresso è il framework Apache Tapestry di PaperCut, dove il parametro service=direct consente di invocare componenti interni specificando una pagina di display. L'attaccante seleziona pagine pubbliche come Error, Exception o Home — che non richiedono autenticazione — per mascherare l'invocazione di componenti amministrativi come ConfigEditor o UserList.

Una volta ottenuto accesso ai componenti privilegiati, l'attaccante reconfigura le impostazioni di external user-lookup inserendo una JDBC connection string malevola e uno statement SQL arbitrario. La catena prosegue attraverso Derby → H2 → trigger JavaScript Nashorn, culminando nell'esecuzione di codice arbitrario sul sistema operativo sottostante. Gli URI di attacco documentati includono /app?service=direct/1/Error/ConfigEditor/quickFindForm e varianti analoghe.

"Any organization that has applied the original first version of the emergency patch is not protected, and must apply the second emergency patch immediately"

La doppia patch: quando la risposta incidentale genera falsa sicurezza

La tempistica è il cuore del problema. PaperCut ha rilasciato la prima patch di emergenza il 28 agosto 2026 alle 02:10 AEST per le versioni 25 e 26. Gli attaccanti hanno rapidamente individuato un percorso alternativo: usando la Home page come pagina di display anziché Error o Exception, il bypass di autenticazione restava funzionante. Il vendor è stato costretto a una seconda release nello stesso giorno.

La discrepanza nei punteggi CVSS di CVE-2026-82078 — 9.8 per Cyber Daily, 9.4 per Rapid7 — riflette incertezze nella valutazione della metrica di impatto, non ambiguità sulla gravità della falla. Entrambe le fonti classificano la vulnerabilità come Critical. CVE-2026-81578, con CVSS 8.8, è definita High ma rappresenta il prerequisito indispensabile per l'intera catena.

La situazione esemplifica un pattern pericoloso: le organizzazioni che hanno applicato tempestivamente la prima patch — comportamento corretto per best practice — si sono trovate in uno stato di falsa sicurezza mentre l'exploitation proseguiva.

Indicatori di compromissione: i log "VALUES CAST" come artefatto ignorato

PaperCut e Rapid7 hanno identificato IOC preliminari che non richiedono strumenti sofisticati per essere rilevati. Tra questi: attività sospetta del processo pc-app.exe, file server.log mancanti o troncati, e specifici messaggi di errore nel formato Database error looking up cardID: VALUES CAST e No suitable driver found for jdbc:no:x.

La presenza di questi errori nei log di PaperCut è significativa perché non rientra nel profilo operativo normale del software. L'artefatto VALUES CAST emerge direttamente dalla fase di injection SQL nella catena Derby→H2→Nashorn, rendendolo un segnale di compromissione affidabile per chi analizza i log. Il fatto che indicatori così espliciti siano documentati suggerisce che almeno parte dell'exploitation è stata tracciabile durante l'indagine incidentale.

Cosa fare adesso

• Applicare immediatamente la seconda patch di emergenza per le versioni 24, 25, 26 di PaperCut NG/MF: la prima patch è inadeguata.
• Rimuovere i server PaperCut NG/MF dall'esposizione pubblica su internet e restringere l'accesso web a indirizzi IP trusted, come raccomandato dal vendor.
• Verificare nei log la presenza degli errori documentati, in particolare le stringhe VALUES CAST e jdbc:no:x, anche in assenza di attività sospette manifeste.
• Controllare integrità e presenza del file server.log: troncamenti o cancellazioni anomale sono indicatori di compromissione preliminari.

Perche il settore education resta nel mirino

La scelta di PaperCut come target non è casuale. Il software gestisce flussi documentali che spesso includono informazioni sensibili — registri accademici, documenti medici, materiali di ricerca — e offre un pivot verso la rete interna. Il settore education è storicamente esposto: la precedente vulnerabilità CVE-2023-27350, anch'essa in PaperCut NG/MF, fu sfruttata dal gruppo ransomware Bl00dy e inserita nel catalogo CISA KEV.

Come osserva Jake Knott, head of threat intelligence di watchTowr, "PaperCut is a prime target for attackers of every motivation, as not only is it an internet-facing pivot into a corporate environment, but it is a sensitive information treasure trove if printed documents can be stored and exfiltrated". WatchTowr ha riprodotto le vulnerabilità 2026 e assiste PaperCut nella risposta.

La combinazione di RCE pre-autenticazione, exploitation attiva confermata e necessità di doppia patch eleva questo evento al di sopra della soglia di routine. Le organizzazioni con server esposti devono assumere che la finestra di compromissione sia aperta e che la prima patch non costituisca mitigazione sufficiente.

Domande frequenti

La prima patch del 28 agosto protegge?

No. Multiple fonti confermano che la prima patch è bypassabile selezionando la Home page come vettore di display. Solo la seconda patch rilasciata nello stesso giorno blocca la catena completa.

Quali versioni richiedono aggiornamento?

PaperCut considera tutte le versioni di NG e MF potenzialmente impattate. Patch di emergenza sono disponibili per le versioni 24, 25 e 26. La fonte non specifica dettagli per release precedenti.

Gli errori nei log indicano sempre compromissione?

Le stringhe documentate — VALUES CAST e jdbc:no:x — sono artefatti specifici della catena di exploit nota. La loro presenza in log di PaperCut costituisce indicatore di compromissione affidabile, sebbene l'assenza non escluda attacchi con varianti non tracciate.

Fonti

• https://www.cyberdaily.au/security/14117-alert-papercut-issues-emergency-patches-for-papercut-ng-and-papercut-mf-warns-active-exploitation-underway
• https://therecord.media/papercut-warns-of-hackers-using-printer-management-vulnerabilities
• https://www.rapid7.com/blog/post/etr-papercut-ng-mf-critical-zero-day-exploited-in-the-wild
• https://www.papercut.com/kb/Main/security-bulletin-27-aug-2026-urgent-security-advisory/
• https://www.bleepingcomputer.com/news/security/papercut-warns-of-ng-mf-flaw-exploited-in-zero-day-attacks/
• https://www.rapid7.com/blog/post/etr-papercut-ng-mf-critical-zero-day-exploited-in-the-wild/?mid=1&
• https://therecord.media/cisa-warns-of-bl00dy-ransomware-gang-using-papercut-vulnerability
• https://therecord.media/cisa-adds-printer-bug-and-chrome-zero-day-to-catalogue
• https://therecord.media/iranian-state-sponsored-hackers-exploiting-printer-vulnerability