PaperCut ha confirmado la explotación activa de dos vulnerabilidades graves que afectan a sus plataformas de gestión de impresión PaperCut NG y PaperCut MF. La empresa ya investiga incidentes sufridos por clientes y advierte de que los fallos pueden comprometer por completo el servidor cuando se utilizan de forma encadenada. Todas las versiones de ambos productos están potencialmente afectadas.
Las vulnerabilidades se identifican como CVE-2026-82078 y CVE-2026-81578. La primera tiene una puntuación CVSS de 9,4 y está relacionada con una carga dinámica insegura de clases en el conector de base de datos. La segunda, valorada con un 8,8, permite eludir la autenticación. El problema ya ha dejado de ser únicamente teórico: existen ataques e incidentes confirmados.
Qué puede conseguir un atacante
El mayor riesgo aparece al combinar ambas vulnerabilidades. Un atacante remoto sin credenciales puede eludir los controles de acceso, modificar configuraciones y ejecutar bytecode Java arbitrario dentro del proceso del servidor. En la práctica, la cadena permite ejecutar código en el Application Server sin autenticación previa, con las consecuencias que esto puede tener para el sistema y los recursos conectados.
El alcance potencial obliga a actuar incluso en instalaciones que no parezcan directamente accesibles desde el exterior. Un servidor expuesto a internet representa el escenario más inmediato, pero la posible presencia de un atacante dentro de la red también debe considerarse. La situación recuerda a otras campañas recientes contra productos empresariales, como las vulnerabilidades de FortiSandbox bajo explotación activa.
Hay que instalar el segundo parche de emergencia
PaperCut ha publicado Emergency Patch Release 2 para las ramas 24, 25 y 26 de NG y MF. Esta segunda actualización debe aplicarse aunque ya se hubiera instalado el primer parche de emergencia. Los administradores no deberían asumir que aquella intervención anterior basta para proteger los servidores frente a las dos vulnerabilidades descritas.
La situación resulta más delicada en instalaciones antiguas. Un análisis de unas 2.500 implementaciones mostró que un 47% utilizaba la versión 23 o una anterior, ramas para las que no había un parche de emergencia disponible en ese momento. Ese porcentaje corresponde exclusivamente a la muestra monitorizada y no representa todo el parque mundial de PaperCut ni equivale necesariamente al número exacto de servidores vulnerables sin protección.
Mitigación urgente para servidores expuestos
Si no es posible actualizar de inmediato, PaperCut pide restringir las interfaces web de los Application Server accesibles desde internet. El acceso debe quedar limitado a direcciones IP de confianza. La restricción reduce la exposición, pero no sustituye la instalación del parche, especialmente si existe la posibilidad de que un adversario ya haya entrado en la red por otra vía.
La prioridad operativa debería ser localizar todos los servidores PaperCut NG y MF, identificar su rama y comprobar si son accesibles desde internet. Después conviene instalar Emergency Patch Release 2 en las versiones compatibles y aplicar controles de acceso estrictos. Las organizaciones que mantienen ramas 23 o anteriores necesitan prestar especial atención a las medidas de contención y a la búsqueda de actividad sospechosa.
Indicadores que pueden revelar una intrusión
PaperCut ha facilitado varios indicios para ayudar a detectar ataques. Entre ellos aparecen entradas anómalas en el archivo server.log, archivos con extensión .class que no deberían estar presentes y procesos pc-app que generan shells como procesos hijos. Encontrar cualquiera de estas señales justifica iniciar una investigación del servidor y revisar el posible alcance del acceso.
La comprobación no debería limitarse a confirmar que el servicio sigue funcionando. Es necesario conservar los registros disponibles, revisar los cambios de configuración y analizar los procesos iniciados por PaperCut. Aplicar la actualización corrige la vía de entrada conocida, pero no elimina por sí solo una intrusión previa ni revierte las acciones que un atacante pudiera haber realizado.
La investigación de PaperCut continúa abierta, por lo que los administradores deben seguir las actualizaciones del aviso oficial. Por ahora, la combinación de explotación confirmada, ausencia de autenticación y capacidad para ejecutar código convierte la instalación de Release 2 y la revisión de indicadores en tareas urgentes, no en mantenimiento aplazable.
