PaperCut advirtió de la explotación activa de una vulnerabilidad de seguridad no divulgada en todas las versiones del software de gestión de impresión PaperCut NG y PaperCut MF, y confirmó que había recibido informes de incidentes que afectaron a clientes. La empresa instó a las organizaciones que operan servidores PaperCut Application Server expuestos a Internet a restringir de inmediato el acceso a las interfaces web, antes de que los atacantes puedan explotarlas.
PaperCut publicó un aviso de seguridad urgente el 27 de agosto de 2026, en el que explicó que el equipo de respuesta de seguridad está investigando la explotación activa y que la empresa reprodujo la vulnerabilidad basándose en información proporcionada por una universidad. La empresa aún no ha revelado detalles de la vulnerabilidad ni de su mecanismo de explotación, tampoco ha identificado a los responsables de los ataques ni qué hacen los atacantes después de comprometer los servidores.
Medida inmediata para los servidores expuestos
PaperCut publicó un parche de emergencia para los clientes que tienen servidores NG o MF disponibles públicamente y no pueden aplicar otras medidas de mitigación. Además de instalar el parche, la empresa recomienda utilizar reglas de firewall o controles de acceso a la red para limitar las interfaces web únicamente a direcciones IP de confianza.
Estas recomendaciones se aplican a los servidores accesibles desde Internet, el punto en el que la empresa centró su advertencia urgente. No obstante, el material disponible no menciona los detalles de las versiones corregidas ni la naturaleza del cambio de software, por lo que no es posible determinar hasta qué punto son necesarios pasos adicionales después de aplicar el parche.
Indicadores que podrían señalar una intrusión
PaperCut compartió indicadores de compromiso que los administradores pueden utilizar en una comprobación inicial, pero advirtió que la ausencia de estos indicadores no demuestra que el servidor sea seguro. Los indicadores incluyen:
- Actividad sospechosa asociada al proceso legítimo pc-app.exe.
- Modificación, eliminación o pérdida de archivos server.log.
- La aparición del error ERROR No suitable driver found for jdbc:no:x.
- La aparición del error ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST.
¿Por qué es importante esta advertencia?
La importancia de este acontecimiento deriva de la combinación de tres factores: la vulnerabilidad está siendo explotada activamente, afecta a todas las versiones de NG y MF según PaperCut, y la empresa confirmó la existencia de incidentes en clientes antes de publicar detalles técnicos completos. Esto convierte la restricción del acceso a la interfaz y el análisis de los registros en medidas prácticas y urgentes, no solo en recomendaciones preventivas.
PaperCut tiene antecedentes de atraer operaciones de explotación después de revelar vulnerabilidades en sus productos. En abril de 2023, la vulnerabilidad crítica CVE-2023-27350 fue explotada para eludir la autenticación y ejecutar código de forma remota en servidores vulnerables. Microsoft vinculó algunos de esos ataques a la operación de ransomware Clop, también detectó operaciones que condujeron a ataques de LockBit e informó de que grupos respaldados por Irán también explotaron la vulnerabilidad. En mayo de 2023, CISA y el FBI advirtieron de su explotación por parte de la banda de ransomware Bl00dy contra el sector educativo.
Estos antecedentes no demuestran que las mismas entidades estén detrás de la campaña actual, pero explican por qué PaperCut la trata como un incidente de alta prioridad. La empresa afirma que actualizará su aviso con indicadores de compromiso y orientaciones adicionales de remediación a medida que avance la investigación, mientras que la naturaleza de los datos a los que podrían haber accedido los atacantes sigue siendo desconocida.