PaperCut NG/MF : deux zero-days enchaînés pour une RCE non authentifiée, des patchs incomplets et une échéance CISA

> En bref : PaperCut a confirmé des incidents clients sur ses logiciels de gestion d'impression PaperCut NG et MF, avec deux failles enchaînées pour parvenir à une exécution de code sans authentification : CVE-2026-81578 (CVSS 8.8) contourne le contrôle d'accès de l'interface web d'administration, puis CVE-2026-82078 (CVSS 9.4) exploite un chargement dynamique de classes non validé dans les utilitaires de connexion base de données pour exécuter du code Java arbitraire dans le process applicatif. L'éditeur a livré deux patchs d'urgence successifs (v24, v25, v26), watchTowr a identifié des contournements du premier patch — et un bypass qui touche encore la dernière version entièrement patchée. Le CISA a ajouté les deux failles à son catalogue KEV, avec une échéance de correction au 14 septembre 2026 pour les agences fédérales américaines.

La chaîne d'attaque, étape par étape

L'analyse de watchTowr résume le cheminement : « CVE-2026-81578 permet de contourner l'authentification, et de là, on peut éditer un fichier de configuration pour exploiter CVE-2026-82078 et obtenir une exécution de code à distance. »

Le mécanisme détaillé par Huntress éclaire la première étape : dans les versions non patchées, une requête spécifiquement forgée peut désigner une page rendue pour la réponse et une autre page qui possède le composant ou l'action réellement exécuté. Le contrôle d'autorisation de PaperCut se fiait à la page rendue et ratait les permissions requises par le composant derrière — un écart classique entre la ressource affichée et la ressource autorisée. Une fois ce contrôle passé, l'attaquant modifie la configuration du serveur, accède à des endpoints sensibles, et déclenche des actions non sécurisées.

La seconde étape exploite le chargement de classes : l'application instancie des classes de driver JDBC à partir de noms configurables sans valider contre une liste de drivers approuvés. Un attaquant qui contrôle la configuration contrôle donc la classe chargée — et donc le code exécuté.

Ce qui a été observé sur le terrain

Les IoC publiés par PaperCut et Huntress dessinent une attaque encore en phase d'exploration sur certains sites, mais déjà opérationnelle sur d'autres :

Au 31 août, watchTowr observait le passage de simples scans à une exploitation réelle avec interaction manuelle — des comportements typiques d'initial access brokers qui verrouillent leurs payloads en mémoire pour en garder l'exclusivité.

Le problème des patchs incomplets

C'est le point le plus instructif de l'affaire. PaperCut a sorti un premier patch d'urgence ; watchTowr et Huntress y ont trouvé des contournements. Un second patch d'urgence est arrivé avec du hardening supplémentaire ; watchTowr y a encore identifié de nouveaux patch bypasses, dont certains affectent la dernière version entièrement patchée. L'éditeur reconnaît lui-même que les fichiers IoC peuvent disparaître au fil de la progression de l'attaquant. Traduction opérationnelle : patcher est nécessaire mais pas suffisant — toute instance qui a été exposée à Internet ces dernières semaines doit être traitée comme potentiellement compromise et faire l'objet d'une investigation, pas seulement d'une mise à jour.

Ce qu'il faut faire

La leçon plus large : un serveur d'impression est un pivot

PaperCut concentre trois facteurs de risque qu'on retrouve dans beaucoup d'outils internes : une interface web d'administration historiquement exposée, un accès au système de fichiers et au shell pour ses fonctions, et un contenu sensible qui transite (les documents imprimés, leur historique, les files d'attente). Dans un contexte RH ou paie, où les bulletins de paie et les dossiers salariés finissent encore sur des imprimantes réseau, un serveur PaperCut compromis est à la fois une porte d'entrée vers le réseau interne et une mine de données. La règle qui se vérifie encore ici : tout portail d'administration interne exposé à Internet finit par être trouvé, testé et enchaîné.