Multiples vulnérabilités dans Papercut (28 août 2026)

Risques - Contournement de la politique de sécurité - Exécution de code arbitraire à distance Systèmes affectés - Papercut MF toutes versions antérieures à 24, 25 ou 26 sans le correctif de sécurité temporaire - Papercut NG toutes versions antérieures à 24, 25 ou 26 sans le correctif de sécurité temporaire Résumé De multiples vulnérabilités ont été découvertes dans Papercut. Elles permettent à un attaquant de contourner l'authentification et d'exécuter du code arbitraire à distance. Papercut indique que ces vulnérabilités sont activement exploitées. L'éditeur explique que le correctif bloque les requêtes SQL qui contiennent les instructions EXEC, EXECUTE ou CALL pour des recherches Card/ID number depuis une base de donnée externe. Le CERT-FR recommande donc fortement l'application des correctifs dans les plus brefs délais. Mesure de contournement Papercut recommande de restreindre l'accès au serveur applicatif à des adresses IP dites de confiance, notamment par des règles de pare-feu. Indicateurs de compromission L'éditeur préconise de : - surveiller toute alerte en provenance d'outils de sécurité concernant le serveur applicatif Papercut et plus particulièrement toute activité anormale de la part de pc-app.exe ; - relever des fichiers server.log de Papercut manquants, tronqués ou supprimés ; - rechercher la présence des motifs ERROR No suitable driver found for jdbc:no:x ouERROR DatabaseUtils - Database error looking up cardID: VALUES CAST dans server.log. Papercut précise que la seule absence de ces indicateurs ne permet pas de déduire que les vulnérabilités n'ont pas été exploitées. [Mise à jour du 31 août 2026] L'éditeur a mis a jour son bulletin de sécurité avec de nouveaux indicateurs de compromission. Solutions Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Documentation - Bulletin de sécurité Papercut security-bulletin-27-aug-2026-urgent-security-advisory du 28 août 2026 https://www.papercut.com/kb/Main/security-bulletin-27-aug-2026-urgent-security-advisory/ - Billet de blogue Huntress du 28 août 2026 https://www.huntress.com/blog/papercut-actively-exploited - Billet de blogue Rapid7 du 28 août 2026 https://www.rapid7.com/blog/post/etr-papercut-ng-mf-critical-zero-day-exploited-in-the-wild/ - Référence CVE CVE-2026-81578 https://www.cve.org/CVERecord?id=CVE-2026-81578 - Référence CVE CVE-2026-82078 https://www.cve.org/CVERecord?id=CVE-2026-82078