CISA попередила про дві вразливості PaperCut, які вже експлуатують у мережі

Американське агентство CISA додало до каталогу відомих експлуатованих вразливостей дві проблеми в PaperCut NG/MF — CVE-2026-81578 і CVE-2026-82078. Це означає не теоретичну можливість атаки, а наявність підтверджених випадків використання вразливостей у реальному середовищі. Для організацій, у яких сервер керування друком доступний з інтернету або недостатньо ізольований, подія має перейти з черги звичайних оновлень у термінову перевірку.

Що відомо про дві вразливості

CVE-2026-81578 описана як відсутність належної автентифікації для критично важливої функції. За даними запису KEV, неавтентифікований віддалений зловмисник може змінити певні системні параметри. Саме можливість торкнутися конфігурації без попереднього входу робить проблему небезпечною на зовнішньому периметрі.

CVE-2026-82078 пов’язана з небезпечною рефлексією. Маніпулюючи параметрами конфігурації, атакувальник може домогтися виконання довільного Java bytecode, який уже є в classpath застосунку, з правами процесу сервера PaperCut. CISA окремо зазначає, що обидві вразливості можуть бути об’єднані в один ланцюжок. У практичному сценарії перша слабкість відкриває шлях до зміни потрібних параметрів, а друга перетворює цю зміну на виконання коду.

Чому запис у KEV важливіший за звичайний CVE

Каталог Known Exploited Vulnerabilities містить не просто високі оцінки CVSS, а вразливості, для яких CISA має свідчення активної експлуатації. Дві проблеми PaperCut додані 31 серпня 2026 року, а для підвідомчих федеральних установ США встановлено строк усунення до 14 вересня. Приватні компанії не зобов’язані дотримуватися цього календаря, але дата дає корисний орієнтир пріоритету.

У записі KEV використання в ransomware-кампаніях позначено як невідоме. Це не підтверджує і не спростовує участь шифрувальників. Правильне трактування просте: експлуатація відбувається, але публічних даних недостатньо, щоб приписати її конкретному типу угруповань.

Що робити адміністраторам

• Інвентаризувати інсталяції. Знайти всі PaperCut NG/MF, включно з тестовими серверами, резервними вузлами та інстансами у філіях.
• Перевірити зовнішню доступність. Панель керування і службові порти не повинні бути відкриті всьому інтернету. Доступ слід обмежити VPN, allowlist або окремою адміністративною мережею.
• Застосувати рекомендації виробника. Перевірити саме свою гілку й конфігурацію, встановити виправлення або рекомендоване тимчасове обмеження, а не покладатися лише на WAF.
• Провести ретроспективний перегляд. Пошукати неочікувані зміни конфігурації, запуск Java-компонентів, нові облікові записи, дивні вихідні з’єднання та інші події в часовому вікні до оновлення.
• Зберегти докази. Якщо є ознаки компрометації, не очищати логи перед створенням копій і не перезапускати сервер без плану реагування.

Практичний висновок: наявність сервера PaperCut у KEV означає, що відкладати перевірку до планового вікна ризиковано. Спочатку закрийте зовнішній доступ і визначте версію, потім виконайте оновлення та перевірте сліди попередніх змін.

Обмеження публічних даних

Сповіщення CISA не містить повної телеметрії атак, ідентифікаторів угруповань або детального proof of concept. Тому не варто робити висновок, що відсутність одного відомого індикатора означає чисту систему. Так само не слід тестувати експлойт на робочому сервері: безпечніше порівняти версію і налаштування з рекомендаціями постачальника, а пошук компрометації виконувати за затвердженою процедурою.

Ізоляція інтерфейсу зменшує поверхню атаки, але не замінює виправлення. Внутрішній зловмисник, скомпрометований VPN-акаунт або помилково опублікований proxy route можуть повернути ризик. Після оновлення варто додати PaperCut до постійного asset inventory та контролювати появу адміністративних маршрутів у зовнішніх сканах.

Джерело та права

Матеріал підготовлено за повідомленням CISA і записами каталогу KEV. Текст федерального агентства США належить до public domain згідно з політикою сайту CISA. Український текст самостійно перекладено, переказано й доповнено практичними поясненнями редакції.