CVE-2026-81578: Sfruttata Catena di Bypass Autenticazione PaperCut per RCE Pre-Auth

PaperCut sta rispondendo ad attacchi attivi che prendono di mira le sue piattaforme di gestione della stampa NG e MF attraverso una coppia di vulnerabilità zero-day che possono essere combinate per ottenere l’esecuzione remota di codice non autenticata. Uno dei difetti, tracciato come CVE-2026-81578, è una grave vulnerabilità di bypass dell’autenticazione che consente a un attaccante remoto di modificare le configurazioni sensibili di PaperCut senza aver effettuato l’accesso.

Valutata 8.8 sulla scala CVSS v4.0, la vulnerabilità esiste nell’interfaccia di gestione web e deriva dal fatto che le azioni amministrative vengono processate prima che la validazione dell’accesso sia completamente conclusa. Da sola, la falla consente modifiche di configurazione non autorizzate. Tuttavia, combinata con il bug critico CVE-2026-82078 di caricamento dinamico insicuro di classi, la catena di attacco può portare all’esecuzione arbitraria di Java sotto il contesto di sicurezza del PaperCut Application Server.

Le vulnerabilità di PaperCut sfruttate sono già state osservate contro ambienti dei clienti. Huntress ha rilevato la prima attività di attacco nota il 26 agosto 2026 e ha riprodotto una catena completa di RCE pre-autenticazione contro un’installazione standard di PaperCut NG. CISA ha successivamente aggiunto sia CVE-2026-81578 sia CVE-2026-82078 al suo catalogo di vulnerabilità conosciute sfruttate, confermando che la minaccia è andata oltre il semplice sfruttamento proof-of-concept.

PaperCut ora considera tutte le versioni di PaperCut NG e PaperCut MF come potenzialmente colpite e ha rilasciato l’Emergency Patch Release 3 per le versioni 24, 25 e 26. L’ultimo aggiornamento di emergenza sostituisce le patch precedenti e aggiunge ulteriori misure di rafforzamento dopo che i ricercatori e i difensori hanno identificato ulteriori percorsi di attacco contro sistemi riparati incompletamente.

Analisi di CVE-2026-81578

La vulnerabilità è classificata come un problema di autenticazione mancante o controllo accessi improprio che interessa l’interfaccia web amministrativa di PaperCut. In condizioni specifiche, una richiesta creata in modo specifico e non autenticata può raggiungere la funzionalità amministrativa backend prima che PaperCut completi i controlli di accesso previsti.

I dettagli importanti per CVE-2026-81578 coinvolgono la differenza tra la pagina presentata al richiedente e l’azione backend eseguita in definitiva. Huntress ha scoperto che una richiesta creata può fare riferimento a una pagina da rendere nella risposta, mentre punta a un componente o azione appartenente a un’altra pagina. La logica di autorizzazione vulnerabile di PaperCut può validare la pagina resa anziché applicare correttamente i requisiti di autorizzazione del componente sottostante.

Questo permette a un attaccante esterno senza un account valido di PaperCut di interagire con la funzionalità amministrativa e modificare la configurazione del server di fiducia.

CVE-2026-81578 colpisce PaperCut NG e PaperCut MF. L’attuale avviso di emergenza di PaperCut si applica in modo conservativo a tutte le versioni di entrambi i prodotti mentre l’indagine di risposta agli incidenti rimane attiva. PaperCut Hive e PaperCut Pocket non sono interessati, mentre i componenti server di Mobility Print e Print Deploy utilizzano architetture separate e sono anch’essi fuori dal campo di applicazione di questa vulnerabilità.

Il bypass dell’autenticazione diventa significativamente più pericoloso quando combinato con CVE-2026-82078. Quel secondo difetto esiste nelle utilità di connessione del database di PaperCut e coinvolge un caricamento dinamico insicuro di classi. Il software può istanziare classi driver del database utilizzando nomi di driver configurabili senza limitarli a un elenco approvato.

Normalmente, sfruttare CVE-2026-82078 richiede alti privilegi perché l’attaccante deve avere la capacità di manipolare i parametri di configurazione rilevanti. CVE-2026-81578 fornisce quel passo mancante: un attaccante non autenticato può prima modificare le impostazioni del server di fiducia, quindi abusare del comportamento di caricamento delle classi per eseguire bytecode Java arbitrario già disponibile sul classpath dell’applicazione.

In pratica, ciò trasforma due vulnerabilità con condizioni prerequisito diverse in una catena RCE pre-autenticazione.

Huntress ha ricreato la catena contro PaperCut NG versione 25.0.11.75758. Nel suo test, una richiesta remota non autenticata ha causato l’esecuzione di charmap.exe come SYSTEM sotto il processo PaperCut pc-app.exe Application Server, dimostrando che uno sfruttamento riuscito può passare da un’interfaccia web esposta all’esecuzione di comandi del sistema operativo con diritti altamente privilegiati.

Ora è disponibile pubblicamente una PoC funzionante di CVE-2026-81578 per la catena di attacco combinata CVE-2026-81578/CVE-2026-82078, e riferimenti pubblici allo sfruttamento sono apparsi anche nei database di vulnerabilità e negli strumenti di sicurezza. Ciò riduce sostanzialmente la barriera per la scansione e lo sfruttamento di sistemi esposti a Internet non patchati.

Attacchi reali erano già in corso prima che emergessero i dettagli tecnici completi pubblici. Huntress ha osservato lo sfruttamento in due ambienti clienti, con il primo incidente avvenuto il 26 agosto. Un attacco è durato meno di due minuti ed eseguì comandi di ricognizione codificati in Base64 che si decodificavano a:

whoami & ver

Un secondo incidente ha esteso la sequenza di ricognizione a:

whoami & ver & tasklist

Questi comandi hanno permesso agli attaccanti di determinare l’identità sotto cui girava PaperCut, la versione di Windows e i processi attivi.

Gli aggressori hanno anche consegnato file .class Java malevoli attraverso il server vulnerabile. Huntress ha recuperato un payload come:

lib/Udydn.class

I ricercatori hanno anche osservato un percorso di database Apache Derby in memoria insolito che termina con:

memory:C:Program FilesPaperCut MFserverdatainternalpwn

Il secondo evento di avvio del database si è verificato immediatamente prima dell’esecuzione del codice, rendendolo un artefatto forense di alta fiducia per la catena d’attacco osservata.

L’indagine successiva di PaperCut mostra che il comportamento dell’attaccante è successivamente escalato oltre la ricognizione di base. Il fornitore descrive una seconda ondata contro sistemi esposti pubblicamente che non erano completamente patchati, con attività post-compromissione più sofisticate di quelle viste durante i primi giorni della campagna.

Le sequenze di comandi osservate successivamente includevano ricognizione di dominio e sessione con nltest, quser e enumerazione diretta, seguite da download di software legittimo per l’accesso remoto. PaperCut ha documentato gli attaccanti che scaricavano un agente SimpleHelp e AnyDesk, con SimpleHelp installato come un servizio di Windows persistente denominato Remote Access Service in esecuzione come LocalSystem.

L’attività mostra perché il bypass dell’autenticazione non dovrebbe essere valutato in isolamento. Una volta collegato all’esecuzione del codice, un PaperCut Application Server esposto a Internet può diventare un punto d’ingresso iniziale per l’accesso remoto privilegiato, la scoperta, la persistenza e potenzialmente ulteriori movimenti laterali.

La data di scoperta originale esatta non è stata divulgata pubblicamente. PaperCut ha pubblicato il suo avviso urgente il 27 agosto 2026 dopo aver confermato incidenti attivi dei clienti, assegnato identificatori CVE man mano che l’indagine si sviluppava e rilasciato la prima patch d’emergenza il 28 agosto.

CISA ha aggiunto la vulnerabilità al suo catalogo KEV il 31 agosto 2026, con una data di rimedio prevista per il 14 settembre 2026 per le organizzazioni federali interessate soggette alla direttiva. L’uso noto di ransomware è attualmente elencato come sconosciuto.

PaperCut e Huntress hanno ora pubblicato utili IOC (Indicatori di Compromissione) per CVE-2026-81578, sebbene i difensori debbano ricordare che gli attaccanti possono cambiare i nomi dei payload, l’infrastruttura e gli strumenti post-esploitazione.

Mitigazione di CVE-2026-81578

La raccomandazione principale di PaperCut è di rimuovere immediatamente i PaperCut NG/MF Application Servers dall’esposizione diretta a Internet. Se un Application Server è accessibile pubblicamente, le organizzazioni dovrebbero limitare le sue interfacce web a indirizzi IP di fiducia utilizzando regole di firewall, controlli di accesso di rete, una VPN, o un altro percorso di accesso amministrativo controllato. Ciò dovrebbe essere fatto anche quando non è stata osservata alcuna attività sospetta.

Per le implementazioni supportate, gli amministratori dovrebbero installare l’Emergency Patch Release 3, pubblicato il 1 settembre 2026. Il Release 3 sostituisce i Releases 1 e 2, quindi i clienti non hanno bisogno di installare prima i pacchetti di emergenza precedenti. PaperCut raccomanda che i sistemi esposti a Internet vengano aggiornati nuovamente anche se Release 1 o Release 2 è già stato installato.

Le attuali patch d’emergenza coprono le versioni PaperCut NG/MF:

• 26
• 25
• 24

Le organizzazioni che eseguono la versione 23 o precedente dovrebbero aggiornarsi a una versione attuale supportata anziché aspettare una patch d’emergenza separata. PaperCut raccomanda esplicitamente di aggiornare le installazioni pre-v24 all’ultimo rilascio disponibile.

Gli amministratori dovrebbero anche patchare i Site Servers e i server secondari/di stampa, non solo l’Application Server principale. PaperCut afferma che Mobility Print, Print Deploy servers, il software User Client, i client Print Deploy, e l’installer Mobility Print non sono interessati da questo incidente.

Il rilevamento di CVE-2026-81578 dovrebbe iniziare identificando ogni PaperCut NG e MF Application Server e determinando se è stato accessibile esternamente in qualsiasi momento a partire almeno dal 26 agosto, quando Huntress ha osservato per la prima volta lo sfruttamento.

Per rilevare lo sfruttamento di CVE-2026-81578 o l’attività post-compromissione, i difensori dovrebbero esaminare i log di PaperCut, la telemetria endpoint, i record di rete e l’attività del file system per i seguenti indicatori:

• Processi figlio sospetti originati da pc-app.exe o pc-app
• File server.log mancanti, eliminati o inaspettatamente troncati
• ERROR No suitable driver found for jdbc:no:x
• ERROR DatabaseUtils – Errore di database cercando cardID: VALUES CAST
• DB URL: jdbc:derby:memory:pwn;create=true
• Errore di database cercando cardID: VALUES CAST(X’cafebabe
• DB URL: jdbc:no:x DB Driver: <5-char random name>
• File .class a cinque caratteri inaspettati sotto <install>serverlib
• Corrispondenti file .cmd o .out sotto <install>serverdatacontent
• cmd.exe generato dal servizio PaperCut
• Esecuzione di whoami, ver, tasklist, nltest, o quser dall’albero di processi di PaperCut
• Distribuzione inaspettata di SimpleHelp o AnyDesk
• Un servizio di Windows denominato Remote Access Service
• SimpleService.exe in esecuzione dalla directory JWrapper-Remote Access

PaperCut avverte che gli attaccanti possono eliminare file temporanei man mano che l’attacco procede, quindi l’assenza di questi artefatti non prova che un sistema non sia mai stato compromesso.

Le organizzazioni dovrebbero anche preservare prove prima di aggiornare o riavviare un sistema esposto. Huntress raccomanda di catturare l’intera directory server/logs di PaperCut, lo stato di configurazione, gli alberi di processi, i log del reverse-proxy e del firewall, i record del flusso di rete e DNS, e le prove di servizi, attività programmate, autoruns o file recentemente creati.

Il processo di mitigazione di CVE-2026-81578 deve andare oltre il patching quando ci sono prove di compromissione. PaperCut raccomanda di proteggere i backup esistenti, cancellare completamente e ricostruire l’Application Server, e ripristinare da un backup pulito creato prima che si verificasse attività sospetta.

Le squadre di sicurezza dovrebbero anche rivedere le credenziali amministrative, gli account di servizio, i token, l’accesso a Active Directory e i sistemi raggiungibili dal server compromesso. Poiché il PaperCut Application Server può funzionare con diritti di SYSTEM o simili, uno sfruttamento riuscito può fornire agli attaccanti capacità sostanziali post-compromissione.

La rapida sequenza di patch di emergenza di PaperCut illustra anche perché i difensori dovrebbero confermare che stanno eseguendo l’ultima mitigazione piuttosto che presumere che una hotfix precedente sia sufficiente. I ricercatori hanno scoperto ulteriori percorsi di bypass dopo il primo rilascio d’emergenza, il Release 2 ha aggiunto ulteriore rafforzamento, e il Release 3 ha successivamente chiuso ulteriori vettori di attacco osservati in natura.

Contatta le Vendite