Aktualizované: PaperCut vydal riadne opravy pre aktívne zneužívané chyby
PaperCut nahradil núdzové záplaty riadnymi maintenance verziami 26.0.5, 25.0.13 a 24.1.10 pre dve aktívne zneužívané zraniteľnosti v NG/MF.
PaperCut maintenance verzie 26.0.5, 25.0.13 a 24.1.10 sú dostupné pre PaperCut NG/MF. Výrobca nimi 10. septembra nahradil doterajšie Emergency Patch Releases 1, 2 a 3 určené na riešenie dvoch aktívne zneužívaných zraniteľností.
Nové vydania obsahujú všetky bezpečnostné opravy z núdzových balíkov, dodatočné spevnenie zabezpečenia a podľa PaperCutu prešli štandardným procesom kontroly kvality. Správcovia majú prejsť na verziu zodpovedajúcu používanej produktovej vetve: 26.0.5, 25.0.13 alebo 24.1.10.
Čo opravujú PaperCut maintenance verzie
Vydania riešia CVE-2026-81578, chybu umožňujúcu obídenie autentifikácie v administračnom webovom rozhraní, a CVE-2026-82078, ktoré sa týka nebezpečného dynamického načítania tried v databázovom konektore.
Podľa dostupných informácií možno tieto dve chyby spojiť do predautentifikačného vzdialeného spustenia kódu na PaperCut Application Serveri. Útočník teda na zneužitie nepotrebuje prihlásenie. PaperCut zároveň uvádza potvrdené incidenty u zákazníkov a upozorňuje, že neopravené servery dostupné z internetu zostávajú cieľom útokov.
Kanadské Cyber Centre uviedlo, že obe CVE boli 31. augusta zaradené do katalógu CISA Known Exploited Vulnerabilities, ktorý eviduje zraniteľnosti s potvrdeným zneužívaním.
Prechod z núdzových záplat
Organizácie, ktoré nasadili Emergency Patch Release 1 alebo 2, majú podľa výrobcu aktualizovať okamžite na riadne maintenance vydanie. Pri Emergency Patch Release 3 možno prechod naplánovať bežným spôsobom, keďže nové verzie zahŕňajú aj jeho opravy.
Ide o zmenu oproti predchádzajúcemu stavu, keď boli k dispozícii núdzové mitigácie. Teraz sú dostupné štandardné, testované verzie produktu. Správca by mal najskôr overiť používanú vetvu PaperCut NG/MF a následne nasadiť príslušnú opravu.
Kontrola serverov a prístupu
Počas aktualizácie je vhodné obmedziť prístup k PaperCut Application Serveru na dôveryhodné siete. Osobitnú pozornosť majú dostať inštalácie, ktorých webové rozhranie bolo dostupné z internetu bez obmedzenia.
PaperCut odporúča preveriť aj možné indikátory kompromitácie. Medzi sledované znaky patrí podozrivá aktivita procesu pc-app.exe a zmeny alebo výmaz súboru server.log. Tieto kontroly sú relevantné najmä pri serveroch, ktoré pred nasadením opravy mohli byť verejne dostupné.
Rozsah incidentov zostáva neznámy
Výrobca potvrdil incidenty u zákazníkov, celkový počet kompromitovaných organizácií ani identita útočníkov však verejne známe nie sú. PaperCut tvrdí, že hlásenia nových kompromitácií v poslednom týždni spomalili, no nezávislé úplné vyčíslenie rozsahu incidentov nie je k dispozícii.
Najbližšie bude dôležité sledovať nasadzovanie riadnych maintenance vydaní, nové forenzné zistenia a prípadné aktualizácie indikátorov kompromitácie od PaperCutu či nezávislých bezpečnostných tímov.
Zdroje
- PaperCut — URGENT Security Advisory: PaperCut NG/MF Security Bulletin – Potvrdzuje vydanie verzií 26.0.5, 25.0.13 a 24.1.10, ich nahradenie núdzových záplat, opravené CVE, aktívne zneužívanie a odporúčania pre správcov.
- PaperCut — PaperCut MF 26.0 release history – Uvádza dátum vydania 26.0.5 a konkrétne opravy CVE-2026-81578 a CVE-2026-82078 vrátane dodatočného hardeningu.
- Canadian Centre for Cyber Security — PaperCut security advisory (AV26-858) – Nezávisle uvádza aktívne zneužívanie oboch CVE a ich zaradenie do CISA KEV 31. augusta 2026.
- Huntress — PaperCut Zero-Day: Active Exploitation and Pre-Auth RCE – Koroboruje aktívne zneužívanie, reťazenie chýb k predautentifikačnému RCE a vydanie riadnych maintenance verzií 10. septembra.
Overené a aktualizované: 11. 09. 2026 15:29
