PaperCut passa ai CVE e i server esposti restano a rischio
PaperCut ha trasformato il suo zero-day in due CVE, CVE-2026-81578 e CVE-2026-82078, e ha rilasciato patch d'emergenza per PaperCut NG e PaperCut MF v25 e v26. L'avviso resta però più ampio della correzione: il vendor continua a considerare potenzialmente impattate tutte le versioni, e i server Application Server esposti a Internet restano ad alto rischio.
La catena è di quelle che portano oltre il semplice accesso iniziale. Un difetto lascia arrivare a funzioni privilegiate senza autenticazione; l'altro trasforma una normale verifica sul database in code execution. Dal lato della vittima, l'attività può assomigliare a comportamento ordinario del server, con segni di post-exploitation come pc-app.exe e server.log mancanti, troncati o cancellati.
Per chi gestisce PaperCut in ambienti scuola, pubblica amministrazione e impresa, il punto non è solo la versione installata. Se il server era esposto prima della patch, l'incidente può aver già lasciato un foothold e aver alterato i log; la comprensione utile oggi è che la superficie di rischio comprende anche ciò che è stato compromesso prima della correzione.