31 sierpnia CISA dopisała do katalogu aktywnie wykorzystywanych podatności (KEV) dwie luki w PaperCut NG i PaperCut MF. Wpis w tym katalogu znaczy jedno: ktoś już używa tych błędów w prawdziwych atakach. Termin na załatanie dla amerykańskich agencji federalnych wyznaczono na 14 września.

Na czym polegają obie luki

CVE-2026-81578 (ocena CVSS 8.8) to błąd kontroli dostępu w webowym interfejsie zarządzania. Żądania kierowane do funkcji administracyjnych uruchamiają działania po stronie serwera, zanim domknie się sprawdzanie uprawnień. Napastnik bez konta może więc zmienić część ustawień systemowych.

CVE-2026-82078 (ocena CVSS 9.4) siedzi w narzędziach do łączenia z bazą danych. Aplikacja ładuje klasę sterownika na podstawie nazwy podanej w konfiguracji i nie porównuje jej z listą dozwolonych wartości. Kto kontroluje tę nazwę, ten uruchamia kod Javy na serwerze PaperCuta.

Osobno każda z nich wygląda na problem drugiej kategorii. Zestawione razem tworzą pełny łańcuch: pierwsza daje nieuwierzytelnionemu napastnikowi zapis do konfiguracji, druga zamienia ten zapis w wykonanie kodu. Efekt to zdalne wykonanie kodu na serwerze aplikacyjnym PaperCuta, bez żadnych danych logowania.

Kogo to dotyczy

PaperCut zarządza wydrukiem tam, gdzie ktoś liczy strony i rozlicza koszty: w szkołach i na uczelniach, w przychodniach, w kancelariach, w biurach rachunkowych, w urzędach. To oprogramowanie, które ktoś wdrożył raz, a potem po prostu działa w tle. Serwer stoi zwykle w sieci wewnętrznej, ale często ma wystawiony na zewnątrz panel webowy albo moduł do drukowania z telefonu, żeby pracownicy mogli wysyłać dokumenty spoza biura.

Warto się zatrzymać nad tym, co taki serwer wie. Zna nazwy użytkowników z domeny, bo integruje się z Active Directory. Widzi nazwy dokumentów w kolejce, a te w kancelarii notarialnej albo w przychodni bywają wymowne same w sobie. Stoi w środku sieci, z uprawnieniami wystarczającymi do rozmowy z kontrolerem domeny. Trzyma też poświadczenia do własnej bazy danych i do serwera pocztowego, przez który wysyła powiadomienia. Napastnik, który wykona kod na tej maszynie, dostaje znacznie więcej niż licznik wydrukowanych stron.

Pierwsza poprawka dała się obejść

PaperCut opublikował biuletyn bezpieczeństwa 27 sierpnia i wypuścił awaryjną poprawkę. W ciągu mniej więcej dwóch dni okazało się, że da się ją obejść, więc 28 sierpnia producent wydał drugą, oznaczoną jako Emergency Patch Release 2, z dodatkowym utwardzeniem kodu. Zalecenie jest jednoznaczne: zainstaluj wydanie drugie także wtedy, gdy pierwszą poprawkę masz już u siebie.

To najważniejsza rzecz do zapamiętania z całej sprawy. Administrator, który zareagował szybko i wgrał łatkę 27 sierpnia, może dziś żyć w przekonaniu, że temat jest zamknięty. Nie jest.

Co zrobić dziś

Sprawdź wersję. Numer widać w panelu administracyjnym PaperCuta, w sekcji About. Bezpieczne wydania z drugiej poprawki to 26.0.5 dla gałęzi 26 oraz 25.0.13 dla gałęzi 25. Kto pracuje jeszcze na gałęzi 24, potrzebuje 24.1.10. Poprawki wyszły na każdy wspierany system operacyjny.

Odetnij panel od internetu. Jeśli interfejs zarządzania jest osiągalny spoza firmowej sieci, ogranicz dostęp do VPN-u albo do listy adresów IP. To sensowne niezależnie od tej konkretnej luki, bo panel administracyjny serwera wydruku nie ma czego szukać w publicznym internecie.

Przejrzyj logi. Obie luki były wykorzystywane, zanim producent wydał poprawkę, więc sama aktualizacja nie mówi nic o tym, czy ktoś nie był już w środku. Poszukaj nietypowych żądań do funkcji administracyjnych sprzed daty aktualizacji. Sprawdź, czy w konfiguracji nie zmieniły się parametry połączenia z bazą danych. Zwróć uwagę na konta administracyjne, których nikt nie zakładał. Sprawdź też, czy proces serwera nie uruchamiał procesów potomnych, którym nie ma powodu tam być.

Zapytaj dostawcę. Jeśli wydruk obsługuje zewnętrzna firma serwisująca kopiarki, a tak jest w większości mniejszych organizacji, to ona zarządza serwerem PaperCuta. Napisz do niej dziś z jednym konkretnym pytaniem: czy wgraliście Emergency Patch Release 2, ten drugi, z 28 sierpnia. Odpowiedź w stylu „tak, łataliśmy w zeszłym tygodniu” nie wystarczy, bo pierwsza łatka była właśnie tą, którą dało się obejść.

Szerszy wniosek

Ta sprawa pokazuje coś, o czym łatwo zapomnieć przy układaniu listy systemów do pilnowania. Inwentaryzacje bezpieczeństwa skupiają się na poczcie i na bazie klientów. Serwer wydruku wpada do kategorii „sprzęt biurowy” i wypada z radaru, choć technicznie jest aplikacją Javy z panelem webowym i z integracją z domeną, czyli dokładnie tym, co napastnik lubi znaleźć.

PaperCut przerabiał podobny scenariusz w 2023 roku, gdy luka w tym samym produkcie posłużyła grupom ransomware jako wejście do sieci wielu organizacji. Teraz historia się powtarza, z dodatkową komplikacją w postaci obejścia pierwszej poprawki. Jeśli macie u siebie ten system, aktualizacja nie jest zadaniem na przyszły tydzień.

Źródła

Biuletyn bezpieczeństwa PaperCut z 27 sierpnia 2026. Wpisy CVE-2026-81578 oraz CVE-2026-82078 w katalogu CISA Known Exploited Vulnerabilities, dodane 31 sierpnia 2026, z terminem 14 września 2026. Doniesienia o drugiej poprawce awaryjnej: BleepingComputer, Help Net Security, Qualys ThreatPROTECT.