PaperCut, PaperCut NG ve PaperCut MF yazdırma yönetimi yazılımlarının tüm sürümlerinde açıklanmamış bir güvenlik açığının aktif olarak istismar edildiği konusunda uyardı ve müşterileri etkileyen olaylara ilişkin bildirimler aldığını doğruladı. Şirket, internete açık PaperCut Application Server sunucuları çalıştıran kuruluşları, saldırganlar bu sunuculardan yararlanmadan önce web arayüzlerine erişimi derhal kısıtlamaya çağırdı.
PaperCut, 27 Ağustos 2026'da acil bir güvenlik bildirimi yayımlayarak güvenlik müdahale ekibinin aktif istismarı araştırdığını ve şirketin, bir üniversite tarafından sağlanan bilgilere dayanarak açığı yeniden oluşturduğunu açıkladı. Şirket şimdiye kadar açığın ayrıntılarını veya istismar yöntemini açıklamadı; saldırıların arkasındaki aktörleri ya da saldırganların sunuculara eriştikten sonra ne yaptığını da belirtmedi.
Açık sunucular için acil eylem
PaperCut, herkese açık NG veya MF sunucularına sahip olup başka azaltma önlemleri alamayan müşteriler için acil bir yama yayımladı. Şirket, yamanın yüklenmesine ek olarak web arayüzlerini yalnızca güvenilir IP adresleriyle sınırlandırmak için güvenlik duvarı kurallarının veya ağ erişim denetimlerinin kullanılmasını öneriyor.
Bu öneriler, internet üzerinden erişilebilen sunucular için geçerli ve şirket acil uyarısında özellikle bu noktaya odaklandı. Düzeltilmiş sürümlerin ayrıntıları veya yazılım değişikliğinin niteliği mevcut materyalde belirtilmediğinden, yama uygulandıktan sonra ek adımların ne ölçüde gerekli olduğunu belirlemek mümkün değil.
İhlale işaret edebilecek göstergeler
PaperCut, yöneticilerin ilk incelemede kullanabileceği ihlal göstergelerini paylaştı; ancak bu göstergelerin bulunmamasının sunucunun güvenli olduğunu kanıtlamadığı konusunda uyardı. Göstergeler şunları içeriyor:
- Meşru pc-app.exe işlemiyle ilişkili şüpheli etkinlik.
- server.log dosyalarının değiştirilmesi, silinmesi veya kaybolması.
- ERROR No suitable driver found for jdbc:no:x hatasının görülmesi.
- ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST hatasının görülmesi.
Bu uyarı neden önemli?
Gelişmenin önemi üç faktörün birleşiminden kaynaklanıyor: PaperCut'a göre açık fiilen istismar ediliyor, NG ve MF'nin tüm sürümlerini etkiliyor ve şirket, teknik ayrıntıların tamamını yayımlamadan önce müşterilerde olaylar bulunduğunu doğruladı. Bu durum, arayüze erişimin kısıtlanmasını ve günlüklerin incelenmesini yalnızca proaktif öneriler değil, acil ve pratik önlemler hâline getiriyor.
PaperCut'ın ürünlerindeki açıkların açıklanmasının ardından istismar faaliyetlerinin ilgisini çektiğine dair bir geçmişi bulunuyor. Nisan 2023'te kritik CVE-2023-27350 açığı, kimlik doğrulamasını atlamak ve savunmasız sunucularda uzaktan kod yürütmek için istismar edildi. Microsoft, bu saldırıların bazılarını Clop fidye yazılımı operasyonuyla ilişkilendirdi; ayrıca LockBit saldırılarına yol açan faaliyetleri tespit etti ve İran destekli grupların da açığı istismar ettiğini bildirdi. Mayıs 2023'te CISA ve FBI, Bl00dy Ransomware çetesinin eğitim sektörüne yönelik saldırılarında açığı istismar ettiği konusunda uyardı.
Bu önceki olaylar, mevcut kampanyanın arkasında aynı aktörlerin bulunduğunu kanıtlamıyor; ancak PaperCut'ın olaya neden yüksek öncelikli bir vaka olarak yaklaştığını açıklıyor. Şirket, soruşturma ilerledikçe bildirimini ihlal göstergeleri ve ek müdahale yönergeleriyle güncelleyeceğini belirtiyor; saldırganların erişmiş olabileceği verilerin niteliği ise hâlâ bilinmiyor.