Le 31 août 2026, la CISA a ajouté deux vulnérabilités PaperCut NG/MF à son catalogue KEV le même jour, avec une précision qu'elle donne rarement : chacune des deux fiches mentionne explicitement que la faille peut être chaînée avec l'autre.
Ce détail est le sujet de cet article. Prises séparément, ces deux CVE ont des prérequis qui les rendent gérables. Mises bout à bout, elles produisent une exécution de code arbitraire sans aucune authentification.
Versions corrigées : 24.1.9, 25.0.12 et 26.0.4.
Les deux maillons
| CVE | CVSS | Vecteur | Ce qu'elle donne |
|---|---|---|---|
| CVE-2026-81578 | 9.8 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | Modification de configuration sans authentification |
| CVE-2026-82078 | 9.1 | AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H | Exécution de code Java — mais exige des privilèges élevés |
Ajout KEV : 2026-08-31 pour les deux. Échéance CISA : 2026-09-14. Publication NVD : 2026-08-28.
Maillon 1 — CVE-2026-81578 : contourner le contrôle d'accès
Under specific conditions, unauthenticated remote requests targeting administrative functions can trigger backend actions prior to the completion of access validation checks. This allows an unauthenticated remote attacker to modify certain system configurations.
Le mécanisme est une condition de séquencement : l'action métier s'exécute avant que la validation d'accès soit terminée. Ce n'est pas un contrôle absent, c'est un contrôle qui arrive trop tard — un motif nettement plus difficile à repérer en revue de code qu'un if manquant.
Résultat : un attaquant sans compte peut modifier des paramètres de configuration du serveur.
Maillon 2 — CVE-2026-82078 : transformer la configuration en code
The application instantiates database driver classes based on configurable driver names without validating against an allowlist of approved drivers. If an attacker can manipulate system configuration parameters, this enables the execution of arbitrary Java bytecode residing on the application classpath under the security context of the PaperCut server process.
Le nom de la classe du pilote de base de données est un paramètre de configuration, et l'application l'instancie sans le confronter à une liste blanche. Fournir un nom de classe arbitraire présent dans le classpath revient à faire exécuter le constructeur — donc du code — par le serveur.
Notez le PR:H du vecteur : cette faille seule exige des privilèges d'administrateur. C'est exactement ce que le maillon 1 fournit.
La chaîne
CVE-2026-81578 → modifier la configuration sans authentification
↓
CVE-2026-82078 → le nom de classe du pilote JDBC devient un vecteur d'exécution
↓
code Java exécuté avec les droits du processus PaperCut
Le score de la chaîne complète n'est ni 9.8 ni 9.1 : c'est une RCE non authentifiée. C'est la raison pour laquelle il faut traiter ces deux CVE comme un seul sujet, et pourquoi corriger une seule des deux ne suffit pas.
Versions
| Produit | Version corrigée |
|---|---|
| PaperCut MF | 24.1.9, 25.0.12, 26.0.4 |
| PaperCut NG | 24.1.9, 25.0.12, 26.0.4 |
⚠️ Ces numéros correspondent aux bornes de versions publiées par NVD pour chaque branche maintenue. Confirme sur le portail PaperCut la version applicable à ta branche avant de planifier la mise à jour — les trois chiffres ci-dessus ne sont pas trois alternatives, ce sont les correctifs de trois branches distinctes.
Vérifier ta version :
Interface d'administration → About
Ou côté serveur :
# Linux
cat /opt/papercut/server/version.txt 2>/dev/null || \
grep -i version /opt/papercut/server/logs/server.log | head -3
# Windows
Get-Content "C:\Program Files\PaperCut MF\server\version.txt"
Pourquoi PaperCut est une cible de choix
PaperCut n'est pas un logiciel dont on parle beaucoup, et c'est précisément ce qui le rend intéressant pour un attaquant.
Il est partout où il y a des imprimantes partagées. Universités, écoles, hôpitaux, collectivités, cabinets d'avocats, grandes entreprises : partout où la comptabilisation des impressions est nécessaire pour refacturer ou pour limiter les coûts.
Il est souvent exposé. L'interface web sert aux utilisateurs pour consulter leur quota et libérer leurs impressions — elle est donc fréquemment accessible depuis l'ensemble du réseau interne, et parfois depuis Internet pour permettre l'impression en télétravail.
Il est rarement patché rapidement. C'est un service d'infrastructure discret, géré par l'équipe bureautique plutôt que par l'équipe sécurité, et dont l'interruption dérange visiblement tout le monde — ce qui décourage les mises à jour hors fenêtre.
Il a un historique. PaperCut a déjà été massivement exploité par des groupes de rançongiciel par le passé. Les opérateurs connaissent le produit, savent où il se trouve dans un réseau, et disposent d'outillage réutilisable.
Son contexte d'exécution est privilégié. Le serveur PaperCut est intégré à l'annuaire pour l'authentification des utilisateurs, dispose souvent d'un compte de service avec des droits de lecture sur l'AD, et communique avec l'ensemble des imprimantes du réseau. C'est un excellent point de pivot.
Détection
Journaux applicatifs
# Linux
tail -f /opt/papercut/server/logs/server.log
# Windows
Get-Content "C:\Program Files\PaperCut MF\server\logs\server.log" -Tail 100 -Wait
Les signaux à chercher :
- Modifications de configuration non corrélées à une intervention documentée — c'est la trace du maillon 1
- Toute mention d'un changement de pilote de base de données ou de chaîne de connexion : c'est le maillon 2, et c'est le signal le plus spécifique de cette chaîne
- Erreurs de chargement de classe Java, qui peuvent indiquer des tentatives ratées
- Actions administratives sans session associée
Configuration
Compare la configuration actuelle à une sauvegarde antérieure fiable. La chaîne passe obligatoirement par une modification de configuration, donc un écart non expliqué est ici un indicateur de premier ordre — bien plus fiable que la recherche de la requête d'exploitation elle-même.
Options → Advanced → Config Editor
Prête une attention particulière aux clés relatives à la base de données.
Comptes et système
- Comptes administrateurs PaperCut inconnus
- Processus enfants anormaux du processus serveur PaperCut — une RCE via instanciation de classe finit généralement par lancer quelque chose
- Trafic sortant initié par le serveur PaperCut vers autre chose que ses imprimantes, son annuaire et sa base de données
Mitigation
1. Mettre à jour vers la version corrigée de ta branche
C'est le seul correctif complet. L'échéance CISA était le 14 septembre ; si ce n'est pas fait, c'est le sujet prioritaire.
2. Retirer toute exposition Internet — immédiatement
Le maillon 1 est non authentifié. Tant que l'interface d'administration est joignable depuis Internet, la chaîne est exploitable par n'importe qui. Si des utilisateurs impriment depuis l'extérieur, fais passer cet accès par le VPN plutôt que par une publication directe.
3. Restreindre l'accès à l'interface d'administration
PaperCut permet nativement de limiter l'administration à une liste d'adresses :
Options → Advanced → Security → Allowed administration IP addresses
C'est applicable sans interruption de service et cela coupe le maillon 1 pour tout attaquant hors du réseau d'administration. À faire même après la mise à jour — c'est une réduction de surface durable, valable pour les prochaines CVE.
4. Réduire les privilèges du compte de service
Le compte de service PaperCut vers l'Active Directory n'a besoin que d'un accès en lecture pour synchroniser les utilisateurs. S'il dispose de plus, une RCE sur le serveur devient une compromission de l'annuaire.
5. Si tu suspectes une compromission
- Isole le serveur du réseau avant investigation
- Compare la configuration à une sauvegarde antérieure, en priorité les paramètres de base de données
- Fais tourner les identifiants : compte de service AD, identifiants de la base PaperCut, mots de passe administrateurs
- Audite l'annuaire : si le compte de service était surprivilégié, considère que sa portée a pu être utilisée
- Sur un serveur dont tu penses qu'il a exécuté du code attaquant, une réinstallation suivie d'une restauration de configuration auditée est plus sûre qu'un nettoyage à chaud
Pourquoi surveiller en continu vos services d'infrastructure
Les deux CVE de cet article partagent un trait avec la plupart des compromissions réelles : elles visent un logiciel que personne ne considère comme sensible. PaperCut ne figure dans aucune analyse de risque, n'apparaît dans aucun inventaire applicatif critique, et son propriétaire déclaré est généralement l'équipe bureautique. Pourtant il est authentifié sur l'annuaire, joignable depuis tout le réseau, et sa compromission donne un point de pivot idéal.
Avec cveo.tech, inventorie tes services d'infrastructure — impression, sauvegarde, supervision, gestion de parc — au même titre que tes serveurs applicatifs, et reçois une alerte automatique dès qu'une CVE critique cible une de tes versions exactes.