Łańcuch luk CVE-2026-81578 i CVE-2026-82078 pozwala przejąć serwer PaperCut NG/MF bez logowania. Producent i CISA potwierdzają ataki. Odetnij serwer od internetu i zainstaluj wersję z poprawką.
Ten alert jest dla zarządu, CTO i CFO firm, szkół i urzędów, które zarządzają drukowaniem przez PaperCut NG lub PaperCut MF na własnym serwerze. Werdykt: jeśli serwer PaperCut nie ma wersji 26.0.5, 25.0.13 lub 24.1.10, zaktualizuj go dziś, a jeśli jest dostępny z internetu, NATYCHMIAST ogranicz do niego dostęp i sprawdź ślady włamania.
Amerykańska agencja CISA 31 sierpnia 2026 roku dopisała CVE-2026-81578 do katalogu KEV, czyli listy podatności wykorzystywanych w prawdziwych atakach, razem z powiązaną luką CVE-2026-82078. Pierwsza pozwala osobie z internetu, bez logowania, zmienić ustawienia serwera PaperCut. Druga pozwala wykorzystać zmienione ustawienia do uruchomienia własnego kodu na serwerze. Razem dają przejęcie serwera wydruku bez hasła.
PaperCut ogłosił 27 sierpnia 2026 roku, że luki są już wykorzystywane i dotyczą wszystkich wersji NG i MF. Po serii łatek awaryjnych producent wydał 10 września 2026 roku pełne wydania serwisowe. Termin naprawy wg CISA minął 14 września 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-81578 (w łańcuchu z CVE-2026-82078) |
Data dodania do CISA KEV | 2026-08-31 (rekord CISA-ADP podaje 2026-08-28) |
Termin naprawy wg CISA | 2026-09-14 |
Produkt | PaperCut NG i PaperCut MF, serwer zarządzania drukiem instalowany u klienta. Nie dotyczy PaperCut Hive i Pocket |
Wersje zagrożone | Wg producenta wszystkie wersje NG i MF przed wydaniami z poprawką: starsze niż 24.1.10, 25.0.0 do 25.0.12, 26.0.0 do 26.0.4 (NVD podaje nieco inne granice). Aktualizacji wymagają też Site Server i serwery drugorzędne |
Wersje bezpieczne | 26.0.5, 25.0.13, 24.1.10 (10 września 2026). Łatka awaryjna Release 3 wg producenta chroni, ale zaleca przejście na wydanie serwisowe. Wersje 23 i starsze: brak poprawki, konieczna migracja na linię 24, 25 lub 26 |
Typ podatności | Brak uwierzytelniania dla krytycznej funkcji; CWE-306 wg KEV i producenta (CWE-305 w rekordzie CVE) |
Ocena CVSS | 9.8 KRYTYCZNA (NVD, CVSS 3.1); 8.8 WYSOKA (PaperCut, CVSS 4.0). Powiązana CVE-2026-82078: 9.1 (NVD) i 9.4 (PaperCut) |
Wyobraź sobie serwerownię, w której panel sterowania klimatyzacją ma zamek, ale zanim zamek sprawdzi klucz, pokrętło już przestawia temperaturę. Kto sięgnie przez drzwi, zmieni ustawienia bez klucza. Jeśli jedno z ustawień pozwala też wskazać, jaki program ma się uruchomić, obcy może uruchomić własny.
Tak działa ten łańcuch. Serwer PaperCut wykonuje niektóre operacje administracyjne, zanim sprawdzi, kto o nie prosi. Napastnik zmienia ustawienia, a druga luka zamienia tę zmianę w uruchomienie kodu na serwerze. Serwer wydruku ma zwykle połączenie z katalogiem użytkowników firmy, więc jest dobrym punktem wyjścia do dalszego ataku.
💡 PaperCut NG/MF to oprogramowanie do rozliczania i zabezpieczania wydruków na drukarkach i urządzeniach wielofunkcyjnych. Serwer aplikacji to główny komputer, na którym działa PaperCut. Łatka awaryjna to szybka poprawka wydana przed pełnymi testami, wydanie serwisowe to przetestowana wersja z nowym numerem. Łańcuch luk to połączenie dwóch błędów dające więcej niż każdy osobno.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Zmiana ustawień PaperCut | Tylko zalogowany administrator | Każdy, kto dotrze do serwera przez sieć |
Uruchamianie programów na serwerze | Niemożliwe z zewnątrz | Możliwe w łańcuchu z CVE-2026-82078 |
Serwer dostępny z internetu | Wygodny wydruk z zewnątrz | Cel masowych ataków |
Dziennik zdarzeń serwera | Kompletny | Może zostać usunięty przez napastnika |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, zgodny z ogólnym opisem obserwacji z biuletynu PaperCut. To scenariusz poglądowy.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukanie celów | T+0 | Skanowanie internetu w poszukiwaniu serwerów PaperCut | Lista dostępnych serwerów |
2. Ominięcie logowania | T+minuty | Wykorzystanie CVE-2026-81578 do zmiany ustawień | Kontrola nad konfiguracją |
3. Uruchomienie kodu | T+minuty | Wykorzystanie CVE-2026-82078 | Polecenia wykonywane na serwerze |
4. Rozpoznanie | T+kilkanaście minut | Sprawdzanie systemu, kont i kontrolerów domeny | Mapa sieci firmy |
5. Utrwalenie | T+pół godziny | Instalacja narzędzi zdalnego dostępu, np. SimpleHelp, AnyDesk | Stały dostęp do sieci |
Serwer wydruku rzadko jest traktowany jako system krytyczny, a często ma szerokie połączenia z resztą sieci. PaperCut był już celem grup ransomware w 2023 roku. Tym razem producent sam potwierdził incydenty u klientów, a publiczny moduł exploita jest dostępny od początku września 2026 roku.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa serwera wydruku, przerwa w drukowaniu, możliwy atak na resztę sieci | Godziny do dni | 20 tys. do 200 tys. PLN (odbudowa, przestój) |
Bezpieczeństwo danych | Dostęp do danych użytkowników, dokumentów w kolejce i danych sieci | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, możliwy okup, jeśli atak rozwinie się w ransomware | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Informacja o włamaniu dla klientów, uczniów lub mieszkańców | Miesiące | 30 tys. do 300 tys. PLN (utracone zaufanie i kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera PaperCut NG/MF bez poprawki
Wpływ
5 | . . . . ■ ← KRYTYCZNE (serwer dostępny z internetu)
4 | . . . ■ . ← WYSOKIE (serwer tylko w sieci wewnętrznej)
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: serwer dostępny z internetu jest w najwyższym polu, bo ataki bez hasła są potwierdzone, a exploit jest publiczny; serwer tylko w sieci wewnętrznej ma niższe prawdopodobieństwo, ale nadal wysoki wpływ.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ograniczyć dostęp do interfejsów WWW serwera PaperCut tylko do zaufanych adresów wewnętrznych | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Sprawdzić wskaźniki włamania z biuletynu PaperCut, w tym nieznane narzędzia zdalnego dostępu | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Zainstalować wydanie 26.0.5, 25.0.13 lub 24.1.10 na serwerze aplikacji | Dziś | Administrator |
4 | 🟠 PILNIE | Zaktualizować Site Server i serwery drugorzędne | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Przy śladach włamania wyczyścić i odbudować serwer z kopii sprzed incydentu, uruchomić procedurę incydentu | Do 24 godzin | CTO |
6 | 🟠 PILNIE | Zaplanować migrację z wersji 23 i starszych na wspieraną linię | Do 7 dni | CTO |
7 | 🟡 WAŻNIE | Zapisać się na powiadomienia bezpieczeństwa PaperCut | Do 30 dni | Kierownik IT |
PaperCut wydał poprawki w wydaniach serwisowych. Dla wersji 23 i starszych poprawek nie będzie i producent uznaje ograniczenie dostępu za niezbędne do czasu migracji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu WWW do serwera tylko z zaufanych adresów (zalecenie producenta) | Wysoka wobec ataków z internetu | Łatwa |
Łatka awaryjna Release 3 dla linii 24, 25, 26 (wg producenta chroni przed opisanymi lukami) | Wysoka | Łatwa |
Monitorowanie serwera narzędziem ochrony stacji i alarm na nietypowe procesy PaperCut | Średnia: wykrywa, nie zapobiega | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do serwera PaperCut | Z internetu, bez sprawdzenia | Tylko z zaufanych adresów |
Wersja oprogramowania | Podatna lub łatka awaryjna | 26.0.5, 25.0.13 lub 24.1.10 |
Wiedza o włamaniu | Brak sprawdzenia | Wskaźniki włamania sprawdzone |
Serwery pomocnicze | Pominięte | Zaktualizowane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); PaperCut potwierdza incydenty u klientów |
Grupy przestępcze | Brak publicznych informacji o sprawcach i ich motywacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown); starsza luka PaperCut z 2023 roku była używana do ataków Cl0p i LockBit |
Ocena CVSS | 9.8 KRYTYCZNA (NVD, CVSS 3.1); 8.8 WYSOKA (PaperCut, CVSS 4.0) |
PoC dostępny publicznie? | TAK: moduł exploita w Metasploit, włączony 3 września 2026 |
Liczba atakowanych firm | Brak pełnych danych; Huntress widział ataki u co najmniej dwóch klientów, około 1000 serwerów PaperCut dostępnych z internetu wg Shadowserver |
Stan obecny wg producenta | Nowych włamań wyraźnie mniej, ale niezaktualizowane serwery w internecie nadal są atakowane, a druga fala jest bardziej zaawansowana |
Sygnały zagrożenia dla CVE-2026-81578
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (PaperCut) 8.8/10 ██████████████████░░ WYSOKA
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie
Publiczny exploit TAK ████████████████████ Metasploit
CISA KEV TAK ████████████████████ ataki potwierdzone 2026-08-26 Pierwsze próby wykorzystania wg Huntress
2026-08-27 PaperCut publikuje pilny biuletyn, rezerwacja CVE-2026-81578
2026-08-28 Łatki awaryjne Release 1 i Release 2, publikacja CVE
2026-08-31 CISA dodaje CVE-2026-81578 i CVE-2026-82078 do KEV
2026-09-01 Łatka awaryjna Release 3
2026-09-03 Moduł exploita włączony do Metasploit
2026-09-10 Wydania serwisowe 26.0.5, 25.0.13, 24.1.10
2026-09-14 Termin naprawy wg CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn PaperCut z wersjami, wskaźnikami włamania i instrukcjami: PaperCut NG/MF Security Bulletin (27 Aug 2026) . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-81578 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy serwer PaperCut jest dostępny z internetu, i zatwierdzić jego odcięcie | CTO | DZISIAJ |
2 | Otrzymać wersję PaperCut i datę instalacji wydania z poprawką | CTO | DZISIAJ |
3 | Otrzymać wynik sprawdzenia wskaźników włamania | CTO | DZISIAJ |
4 | Sprawdzić ważność licencji i utrzymania PaperCut, by nie blokowały aktualizacji | CFO | DO JUTRA |
5 | Zarezerwować budżet na odbudowę serwera i analizę, jeśli wynik jest niepewny | CFO | DO JUTRA |
6 | Zatwierdzić plan migracji z wersji 23 i starszych | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja PaperCut NG lub MF działa na serwerze aplikacji? | [wersja] | 🔴 |
2 | Czy interfejs WWW serwera PaperCut jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Czy sprawdziliśmy wskaźniki włamania z biuletynu, w tym nieznane usługi zdalnego dostępu i AnyDesk? | TAK / NIE, [data] | 🔴 |
4 | Kiedy zainstalowano 26.0.5, 25.0.13 lub 24.1.10? | [data] | 🔴 |
5 | Czy Site Server i serwery drugorzędne też są zaktualizowane? | TAK / NIE | 🟠 |
6 | Czy dzienniki serwera PaperCut są kompletne i nie zostały skrócone lub usunięte? | TAK / NIE | 🟠 |
7 | Czy mamy kopię serwera sprzed 26 sierpnia 2026 na wypadek odbudowy? | TAK / NIE, [data] | 🟡 |
CVE-2026-81578 w połączeniu z CVE-2026-82078 pozwala przejąć serwer PaperCut NG/MF bez hasła, a producent i CISA potwierdzają ataki, które według PaperCut nadal trwają wobec niezaktualizowanych serwerów w internecie. Odcięcie serwera od internetu, instalacja wydania 26.0.5, 25.0.13 lub 24.1.10 i sprawdzenie śladów włamania to zadania na dziś, bo sama aktualizacja nie usuwa skutków wcześniejszego przejęcia.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.