PaperCut pod ostrzałem: ataki na NG i MF

PaperCut na celowniku atakujących

Administracja drukiem w wielu firmach stała się właśnie jednym z najgorętszych tematów w cyberbezpieczeństwie. W PaperCut NG i PaperCut MF wykryto łańcuch dwóch podatności, który pozwala doprowadzić do remote code execution (RCE) bez wcześniejszego uwierzytelnienia. Producent wydał awaryjne poprawki, ale ataki są już obserwowane w środowiskach produkcyjnych.

Według opisu incydentów celem jest przejęcie kontroli nad serwerem aplikacyjnym PaperCut, a następnie uruchamianie poleceń po stronie atakowanego systemu. To szczególnie groźne, bo aplikacje tego typu bywają wystawione do internetu i działają jako wrażliwy punkt wejścia do sieci firmowej.

Jak działa łańcuch ataku

Eksploatacja opiera się na połączeniu dwóch błędów:

• CVE-2026-81578 – luka związana z nieprawidłową kontrolą dostępu w interfejsie webowym, pozwalająca w pewnych warunkach wykonywać działania administracyjne bez uwierzytelnienia;
• CVE-2026-82078 – podatność typu unsafe dynamic class loading w komponentach łączących się z bazą danych, umożliwiająca uruchomienie złośliwego kodu Java.

W praktyce atakujący może najpierw ominąć autoryzację, a potem zmienić konfigurację w taki sposób, by doprowadzić do wykonania własnego kodu w procesie aplikacji.

Co zaobserwowano w realnych atakach

W śledzonych incydentach pojawiały się charakterystyczne ślady, które mogą pomóc w wykrywaniu kompromitacji. W logach zwracają uwagę m.in. wpisy takie jak:

• ERROR No suitable driver found for jdbc:no:x
• ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST
• DB URL: jdbc:derby:memory:pwn;create=true
• DB URL: jdbc:no:x
• DB Driver: <5-char random name>

Na dysku mogą pojawić się także pliki, między innymi:

• \server\lib\<5-char-name>.class
• \server\data\content\<5-char-name>.cmd
• \server\data\content\<5-char-name>.out

Warto jednak pamiętać, że napastnicy mogą te artefakty usuwać w trakcie działania, więc ich brak nie oznacza, że do włamania nie doszło.

Działania po uzyskaniu dostępu

W obserwowanych kampaniach pojawiały się proste polecenia rozpoznawcze, takie jak:

• whoami & ver
• whoami & ver & tasklist

Wskazuje to na wstępny etap rekonesansu: sprawdzanie, na jakim koncie działa proces i jaki system został zaatakowany. W części przypadków widziano też uruchamianie procesów powłoki z pc-app.exe, a także instalację narzędzi zdalnego dostępu, w tym AnyDesk. W innym przypadku wykorzystano komponent związany z SimpleHelp.

Kogo dotyczą zalecenia

Najważniejsza rekomendacja jest prosta: jeśli PaperCut NG lub MF jest wystawiony do internetu, dostęp trzeba natychmiast ograniczyć. Zalecane działania to:

• odcięcie publicznego dostępu do interfejsu webowego;
• dopuszczenie wyłącznie zaufanych adresów IP;
• zastosowanie reguł firewall lub kontroli dostępu do sieci;
• umieszczenie panelu administracyjnego za VPN albo inną kontrolowaną ścieżką administracyjną;
• pilne wdrożenie dostępnych poprawek.

Dlaczego ta luka jest szczególnie groźna

PaperCut bywa traktowany jako zwykłe narzędzie pomocnicze, ale w praktyce może stać się punktem wejścia do całej organizacji. Jeśli atakujący przejmie serwer zarządzający drukiem, może nie tylko uzyskać dostęp do infrastruktury, ale też trafić na wartościowe dane związane z dokumentami i procesami firmowymi.

Wcześniej w 2023 roku inna krytyczna podatność w PaperCut NG i MF była już wykorzystywana w atakach i doprowadzała do wdrażania ransomware. To pokazuje, że środowiska tego typu są dla przestępców atrakcyjnym celem i warto traktować je z takim samym priorytetem jak inne systemy brzegowe.

Co zrobić teraz

Jeśli Twoja organizacja korzysta z PaperCut NG lub MF, nie warto czekać na dalszy rozwój sytuacji. Kluczowe kroki to:

1. sprawdzić, czy instancja jest dostępna publicznie;
2. natychmiast ograniczyć ekspozycję sieciową;
3. wdrożyć poprawki producenta;
4. przejrzeć logi pod kątem wskazanych wzorców;
5. potraktować każdą podejrzaną instalację jako potencjalnie naruszoną i uruchomić procedurę reakcji na incydent.

W tym przypadku liczy się czas — a ponieważ aktywność atakujących już trwa, opóźnienie może oznaczać realne przejęcie środowiska.