PaperCut a mis en garde contre l’exploitation active d’une vulnérabilité de sécurité non divulguée dans toutes les versions des logiciels de gestion de l’impression PaperCut NG et PaperCut MF, confirmant avoir reçu des signalements d’incidents touchant des clients. L’entreprise a appelé les organisations qui exploitent des serveurs PaperCut Application Server exposés à Internet à restreindre immédiatement l’accès aux interfaces web, avant que les attaquants ne puissent les exploiter.
PaperCut a publié un avis de sécurité urgent le 27 août 2026, précisant que son équipe de réponse aux incidents de sécurité enquêtait sur l’exploitation active et que l’entreprise avait reproduit la vulnérabilité à partir d’informations fournies par une université. L’entreprise n’a pas encore révélé les détails de la vulnérabilité ni son mécanisme d’exploitation, et n’a pas non plus identifié les responsables des attaques ou indiqué ce que font les attaquants après avoir compromis les serveurs.
Mesure immédiate pour les serveurs exposés
PaperCut a publié un correctif d’urgence pour les clients disposant de serveurs NG ou MF accessibles au public et qui ne peuvent pas prendre d’autres mesures d’atténuation. En plus d’installer le correctif, l’entreprise recommande d’utiliser des règles de pare-feu ou des contrôles d’accès réseau afin de limiter les interfaces web aux seules adresses IP de confiance.
Ces recommandations s’appliquent aux serveurs accessibles depuis Internet, point sur lequel l’entreprise a insisté dans son avertissement urgent. En revanche, les détails des versions corrigées ou la nature de la modification logicielle n’ont pas été indiqués dans le contenu disponible ; il n’est donc pas possible de déterminer dans quelle mesure des mesures supplémentaires sont nécessaires après l’application du correctif.
Indicateurs pouvant signaler une compromission
PaperCut a communiqué des indicateurs de compromission que les administrateurs peuvent utiliser lors d’un examen initial, tout en avertissant que l’absence de ces indicateurs ne prouve pas que le serveur est sûr. Ces indicateurs comprennent :
- Une activité suspecte associée au processus légitime pc-app.exe.
- La modification, la suppression ou la disparition de fichiers server.log.
- L’apparition de l’erreur ERROR No suitable driver found for jdbc:no:x.
- L’apparition de l’erreur ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST.
Pourquoi cet avertissement est-il important ?
L’importance de cette évolution tient à la réunion de trois facteurs : la vulnérabilité est effectivement exploitée, elle affecte toutes les versions de NG et MF selon PaperCut, et l’entreprise a confirmé l’existence d’incidents chez des clients avant la publication de détails techniques complets. Cela fait de la restriction de l’accès à l’interface et de l’examen des journaux des mesures urgentes et concrètes, plutôt que de simples recommandations préventives.
PaperCut a déjà été confrontée à une recrudescence des exploitations après la divulgation de vulnérabilités dans ses produits. En avril 2023, la vulnérabilité critique CVE-2023-27350 a été exploitée pour contourner l’authentification et exécuter du code à distance sur des serveurs vulnérables. Microsoft a associé certaines de ces attaques à l’opération de rançongiciel Clop, a observé des opérations ayant mené à des attaques LockBit et a indiqué que des groupes soutenus par l’Iran avaient également exploité la vulnérabilité. En mai 2023, la CISA et le FBI ont averti qu’elle était exploitée par le groupe de rançongiciel Bl00dy contre le secteur de l’éducation.
Ces précédents ne prouvent pas que les mêmes acteurs sont à l’origine de la campagne actuelle, mais ils expliquent pourquoi PaperCut la traite comme un incident hautement prioritaire. L’entreprise affirme qu’elle mettra à jour son avis avec des indicateurs de compromission et des consignes de remédiation supplémentaires au fur et à mesure de l’enquête, tandis que la nature des données auxquelles les attaquants pourraient avoir accédé reste inconnue.