أصدرت PaperCut تصحيحاً أمنياً طارئاً ثانياً لبرمجيات PaperCut NG وMF بعد اكتشاف باحثين عدة طرق لتجاوز الإصلاح الأول المخصص لثغرتين يجري استغلالهما في هجمات فعلية. وتحث الشركة جميع العملاء على تثبيت Emergency Patch Release 2 حتى إذا كانوا قد طبقوا التصحيح الطارئ السابق.
كانت PaperCut قد حذرت في البداية من هجمات يوم الصفر ضد خوادم العملاء، وأصدرت إصلاحاً أولياً لإصدارات NG وMF رقمَي 25 و26 من دون نشر أرقام CVE أو تفاصيل تقنية، لإتاحة وقت للعملاء لتطبيق الإصلاحات ومواصلة التحقيق. وفي التحديث الأحدث، كشفت الشركة أن الثغرتين تحملان المعرّفين CVE-2026-81578 وCVE-2026-82078.
ثغرتان يمكن ربطهما بتنفيذ أوامر عن بُعد
الثغرة CVE-2026-81578 مصنفة عالية الخطورة بدرجة 8.8، وتوجد في واجهة الإدارة عبر الويب الخاصة بـ PaperCut NG وMF. ووفق توصيف PaperCut، يمكن لطلبات عن بُعد غير موثقة، في ظروف محددة، استهداف وظائف إدارية وتشغيل إجراءات خلفية قبل اكتمال فحوص التحقق من الصلاحيات.
أما CVE-2026-82078 فمصنفة حرجة بدرجة 9.4، وتوجد في أدوات اتصال قاعدة البيانات. إذ تحمّل التطبيقات أصناف برامج تشغيل قواعد البيانات استناداً إلى أسماء قابلة للضبط، من دون التحقق منها مقابل قائمة مسموحة. وإذا تمكن المهاجم من تعديل معاملات إعداد النظام، فقد يؤدي ذلك إلى تشغيل بايت كود Java عشوائي موجود ضمن مسار أصناف التطبيق، وبصلاحيات عملية خادم PaperCut.
وقالت شركة watchTowr إن مهاجماً غير موثق يمكنه استخدام الثغرتين لتجاوز المصادقة والوصول إلى تنفيذ التعليمات البرمجية عن بُعد. كما أفادت Huntress بأنها رصدت الاستغلال في بيئتين لدى عميلين، وأعادت إنتاج سلسلة تنفيذ التعليمات البرمجية قبل المصادقة بالكامل.
لماذا لم يعد التصحيح الأول كافياً؟
أوضحت watchTowr أن باحثيها أعادوا إنتاج الثغرات، واكتشفوا عدة وسائل لتجاوز التصحيحات الأصلية، إضافة إلى ثغرة أخرى لتجاوز المصادقة شاركوا تفاصيلها مع PaperCut. وبناءً على تحليل إضافي أجرته فرق PaperCut الداخلية بالتعاون مع Huntress وwatchTowr، يتضمن الإصدار الثاني إجراءات تحصين إضافية تتجاوز الإصلاح الأول.
وذكرت Huntress أن سجلات PaperCut التقطت أوامر استخدمها المهاجمون لاستطلاع الأنظمة. كما عُثر في السجلات على ملفات Java بصيغة .class ومشفرة بترميز سداسي عشري، استُخدمت كجسر لتنفيذ الأوامر وقراءة الملفات أو كتابتها في نظام التشغيل. ولم تبدُ الأوامر المرصودة مخصصة لنشر برمجيات خبيثة أو إنشاء آلية بقاء، بحسب الشركة.
الإصدارات المتأثرة وإجراءات الاستجابة
يتوفر Emergency Patch Release 2 لإصدارات PaperCut NG وMF رقمَي 24 و25 و26 على Windows وLinux وmacOS. أما العملاء الذين يستخدمون الإصدار 23 أو أقدم، فعليهم الترقية إلى أحدث إصدار بدلاً من انتظار تصحيح لهذه الإصدارات. وتشمل الترقية أيضاً الخوادم الفرعية وخوادم الطباعة وSite Servers، بينما لا تتأثر مكونات Print Deploy وMobility Print ولا تحتاج إلى تحديث وفق الشركة.
- تقييد الوصول إلى واجهات الويب على عناوين IP موثوقة باستخدام جدران الحماية أو ضوابط الوصول إلى الشبكة.
- البحث عن نشاط مشبوه صادر عن العملية pc-app.exe.
- فحص سجلات server.log بحثاً عن ملفات مفقودة أو مبتورة، وعن رسالتي الخطأ: ERROR No suitable driver found for jdbc:no:x وERROR DatabaseUtils - Database error looking up cardID: VALUES CAST.
- مراجعة تنبيهات أنظمة كشف التسلل ومراقبة نقاط النهاية والشبكة المرتبطة بخادم PaperCut Application Server.
ما الذي يهم مسؤولي الأنظمة؟
التطور العملي الأهم هو أن تثبيت التصحيح الأول لا يثبت معالجة الخطر، لأن باحثين تمكنوا من تحديد طرق لتجاوزه. لذلك يتعامل مسؤولو الأنظمة مع الإصدار الثاني باعتباره إصلاحاً مطلوباً، إلى جانب تقليل تعرض واجهات الإدارة والتحقق من مؤشرات الاختراق. ولا تزال PaperCut تحقق في ما فعله المهاجمون بعد الاختراق، ولم تحدد الجهة المسؤولة عن الهجمات أو تنشر مؤشرات اختراق نهائية، مؤكدة أن النشاط يبدو محدوداً ومستهدفاً حتى الآن.
وتكتسب الحادثة أهمية إضافية في ضوء استهداف خوادم PaperCut سابقاً في عام 2023 عبر CVE-2023-27350، وهي ثغرة لتجاوز المصادقة وتنفيذ التعليمات البرمجية عن بُعد. لكن المصدر لا يثبت أن الجهات أو الأساليب نفسها تقف وراء الهجمات الحالية، كما أن تفاصيل ما بعد الاختراق ما زالت قيد التحقيق.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.