Dwie połączone luki w PaperCut NG i MF pozwalają bez hasła przejąć serwer druku. CISA i producent potwierdzają ataki, moduł Metasploit jest publiczny. Zaktualizuj do 26.0.5, 25.0.13 lub 24.1.10 i sprawdź ślady włamania.
Ten alert jest dla zarządu, CTO i CFO firm, szkół i urzędów, które zarządzają drukowaniem przez PaperCut NG lub PaperCut MF. Werdykt: zaktualizuj dziś serwer PaperCut do wersji 26.0.5, 25.0.13 lub 24.1.10, odetnij go od internetu i sprawdź pod kątem włamania, bo przestępcy łączą dwie luki, aby bez hasła przejąć serwer, a gotowy kod ataku jest publiczny.
Amerykańska agencja CISA 31 sierpnia 2026 roku dopisała CVE-2026-82078 oraz powiązaną CVE-2026-81578 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. CISA wprost wskazuje, że obie luki mogą być łączone.
To luki dnia zerowego: PaperCut ogłosił pilny biuletyn 27 sierpnia, gdy ataki już trwały, a firma Huntress widziała pierwsze wykorzystanie 26 sierpnia. CVE-2026-81578 pozwala bez logowania zmienić część ustawień serwera. CVE-2026-82078 pozwala, po takiej zmianie, uruchomić kod na serwerze z uprawnieniami PaperCut. Razem dają przejęcie serwera bez hasła. Producent potwierdza incydenty u klientów i po trzech łatkach awaryjnych wydał 10 września pełne wersje serwisowe z poprawką.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-82078 (łączona z CVE-2026-81578) |
Data dodania do CISA KEV | 2026-08-31 |
Termin naprawy wg CISA | 2026-09-14 |
Produkt | PaperCut NG i PaperCut MF (serwer aplikacji, serwery lokalizacji i serwery drugorzędne) |
Wersje zagrożone | Wg rekordu CVE PaperCut: przed 24.1.10, 25.0.0 do przed 25.0.13, 26.0.0 do przed 26.0.5. Biuletyn obejmuje wszystkie wersje NG i MF. Najbardziej zagrożone serwery z interfejsem WWW dostępnym z internetu |
Wersje bezpieczne | Wersje serwisowe 26.0.5, 25.0.13, 24.1.10 (zalecane przez PaperCut, zastępują łatki awaryjne). Łatka awaryjna Release 3 chroni, ale należy przejść na wersję serwisową; Release 1 i 2 wymagają pilnej aktualizacji. Mobility Print, Print Deploy i klienci nie są podatni |
Typ podatności | CVE-2026-82078: niebezpieczne ładowanie klas (unsafe reflection), CWE-470. CVE-2026-81578: obejście uwierzytelnienia, CWE-305 w rekordzie CVE, CWE-306 w KEV i biuletynie |
Ocena CVSS | CVE-2026-82078: 9.1 KRYTYCZNA (CVSS 3.1, NVD), 9.4 KRYTYCZNA (CVSS 4.0, PaperCut). CVE-2026-81578: 9.8 (CVSS 3.1, NVD), 8.8 (CVSS 4.0, PaperCut). Sama CVE-2026-82078 wymaga wysokich uprawnień, ale w połączeniu z CVE-2026-81578 atak nie wymaga logowania |
💡 Rozbieżność w wersjach: NVD podaje jako granicę poprawki 24.1.9, 25.0.12 i 26.0.4, czyli kompilacje z łatek awaryjnych. PaperCut w rekordzie CVE i biuletynie wskazuje wersje serwisowe 24.1.10, 25.0.13 i 26.0.5. Bezpieczniej przyjąć wersje serwisowe.
Wyobraź sobie serwis techniczny budynku, w którym ustawienia instalacji zmienia tylko kierownik z kluczem do tablicy rozdzielczej. Pierwsza usterka polega na tym, że drzwi do tablicy da się otworzyć, zanim zamek sprawdzi klucz. Druga: tablica pozwala podłączyć dowolne urządzenie bez sprawdzania, czy jest na liście dozwolonych. Osobno każda usterka jest groźna, razem pozwalają obcej osobie przejąć sterowanie całym budynkiem.
Tak działają te dwie luki. PaperCut zarządza drukarkami, kontami użytkowników i kosztami wydruku w całej organizacji. Pierwsza luka pozwala bez hasła zmienić ustawienia serwera. Druga sprawia, że zmienione ustawienie może uruchomić kod napastnika. Serwer druku ma zwykle połączenia z katalogiem użytkowników i wieloma komputerami, więc staje się wygodnym punktem wejścia do sieci.
💡 PaperCut NG/MF to oprogramowanie do zarządzania drukiem i kopiowaniem w firmach, szkołach i urzędach. Łańcuch luk to połączenie kilku błędów, które razem dają większy skutek niż każdy osobno. Łatka awaryjna to szybka poprawka wydana przed pełnym testem; wersja serwisowa to pełne, przetestowane wydanie. Wskaźniki włamania to ślady, po których można rozpoznać atak, np. wpisy w logach i nieznane programy.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Zmiana ustawień serwera druku | Tylko po zalogowaniu administratora | Możliwa bez logowania |
Uruchomienie programu na serwerze | Niemożliwe z zewnątrz | Możliwe po zmianie ustawień |
Serwer druku dostępny z internetu | Wygoda dla pracy z domu | Otwarte drzwi dla przestępców |
Logi serwera | Źródło wiedzy o działaniach | Mogą zostać usunięte przez napastnika |
Instalacja łatki | Zamyka lukę | Nie usuwa już zainstalowanych narzędzi zdalnego dostępu |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, dopasowany do działań opisanych przez PaperCut i Huntress. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukanie serwerów | T+0 | Skanowanie internetu w poszukiwaniu serwerów PaperCut (Shadowserver: około 1000 dostępnych) | Lista celów |
2. Zmiana ustawień | T+sekundy | Wykorzystanie CVE-2026-81578 bez logowania | Kontrola nad konfiguracją |
3. Uruchomienie kodu | T+sekundy do minut | Wykorzystanie CVE-2026-82078 | Kod działa z uprawnieniami PaperCut |
4. Rozpoznanie | T+minuty | Sprawdzenie konta, systemu, listy kontrolerów domeny i użytkowników | Mapa sieci firmy |
5. Utrwalenie | T+kilkanaście minut | Instalacja narzędzi zdalnego dostępu (wg PaperCut: SimpleHelp, AnyDesk), usuwanie logów | Stały dostęp do sieci |
6. Dalsze działania | T+dni | Wejście do kolejnych systemów; wg PaperCut druga fala ataków jest bardziej zaawansowana | Ryzyko kradzieży danych lub szyfrowania |
Mogę Ci jakoś pomóc?
Serwer druku rzadko jest traktowany jako system krytyczny, a jednak ma dostęp do katalogu użytkowników, komputerów i często jest wystawiony do internetu. Luki PaperCut już wcześniej trafiały do katalogu KEV, a według SecurityWeek dwie z nich wykorzystano w atakach ransomware. Tym razem gotowy moduł ataku jest publiczny w narzędziu Metasploit.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa serwera druku, przerwa w drukowaniu i rozliczaniu wydruków | Dni | 20 tys. do 150 tys. PLN (przestój, odbudowa) |
Bezpieczeństwo danych | Dostęp do danych użytkowników, drukowanych dokumentów i dalej do sieci | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, ryzyko szyfrowania systemów po wejściu do sieci | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Informowanie klientów, uczniów lub obywateli o incydencie | Miesiące | 30 tys. do 300 tys. PLN (utracone zaufanie i kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwerów PaperCut NG/MF
bez wersji 26.0.5, 25.0.13 lub 24.1.10
Wpływ
5 | . . . . ■ ← KRYTYCZNE (serwer dostępny z internetu)
4 | . . . . .
3 | . . ■ . . ← ŚREDNIE (serwer tylko w sieci wewnętrznej)
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: serwer dostępny z internetu jest w najwyższym polu ryzyka, bo atak nie wymaga hasła, kod jest publiczny, a ataki trwają; serwer w sieci wewnętrznej wymaga, by napastnik był już w sieci, ale PaperCut i tak zaleca aktualizację wszystkim.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ograniczyć dostęp do interfejsu WWW serwera PaperCut tylko do zaufanych adresów IP | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Zaktualizować serwer aplikacji do 26.0.5, 25.0.13 lub 24.1.10 | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Zaktualizować także serwery lokalizacji i serwery drugorzędne | Dziś | Administrator |
4 | 🔴 NATYCHMIAST | Sprawdzić wskaźniki włamania z biuletynu PaperCut: wpisy w logach, brakujące logi, usługę „Remote Access Service”, nieznane instalacje AnyDesk | Do jutra | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przy śladach włamania: zabezpieczyć kopie, wyczyścić i odbudować serwer, odtworzyć czystą kopię | Do 3 dni | CTO |
6 | 🟠 PILNIE | Przy śladach włamania: sprawdzić kontrolery domeny i zmienić hasła kont usługowych | Do 3 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Ustalić zasadę, że panele administracyjne systemów nie są dostępne z internetu | Do 30 dni | CTO |
PaperCut wydał pełne wersje serwisowe z poprawką, więc aktualizacja jest podstawowym działaniem. Główną miarą tymczasową zalecaną przez producenta jest ograniczenie dostępu do interfejsu WWW serwera. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu do interfejsu WWW PaperCut tylko z zaufanych adresów IP (zalecenie PaperCut) | Wysoka wobec ataków z internetu | Łatwa |
Łatka awaryjna Release 3, jeśli wersja serwisowa nie może być wdrożona od razu | Wysoka wg PaperCut | Średnia |
Monitorowanie procesów uruchamianych przez serwer PaperCut i nowych usług | Średnia: wykrywa, nie zapobiega | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do panelu PaperCut | Z całego internetu | Tylko z zaufanych adresów |
Wersja serwera | Podatna lub z wczesną łatką awaryjną | Wersja serwisowa 26.0.5, 25.0.13 lub 24.1.10 |
Serwery lokalizacji | Pomijane przy aktualizacji | Zaktualizowane razem z serwerem głównym |
Wiedza o włamaniu | Brak | Wskaźniki sprawdzone, wynik udokumentowany |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); PaperCut potwierdza incydenty u klientów, Huntress widział ataki od 26 sierpnia 2026 |
Grupy przestępcze | Nieznane; według SecurityWeek sprawcy i ich motywacja nie są ustaleni |
Kampanie ransomware | Brak potwierdzenia dla tych luk (CISA: Unknown); wcześniejsze luki PaperCut były używane w ransomware wg SecurityWeek |
Ocena CVSS | CVE-2026-82078: 9.1 (NVD, CVSS 3.1), 9.4 (PaperCut, CVSS 4.0); CVE-2026-81578: 9.8 (NVD), 8.8 (PaperCut) |
PoC dostępny publicznie? | TAK: moduł Metasploit dla połączenia obu luk włączony do projektu 3 września 2026 |
Liczba atakowanych firm | Brak publicznych danych; Huntress potwierdził dwa przypadki u swoich klientów, a około 1000 serwerów PaperCut jest dostępnych z internetu wg Shadowserver |
Stan ataków | Według PaperCut nowych włamań jest mniej, ale serwery bez poprawki dostępne z internetu są nadal atakowane |
Łatki PaperCut: od awaryjnych do pełnych wydań
28.08 Release 1 ███░░░░░░░ wersje 25 i 26, obejścia znalezione
28.08 Release 2 ██████░░░░ dodatkowe utwardzenie, także wersja 24
01.09 Release 3 █████████░ kolejne zabezpieczenia przed atakami
10.09 26.0.5 / 25.0.13 / 24.1.10 ██████████ pełne wersje serwisowe
Mogę Ci jakoś pomóc?
2026-08-26 Pierwsze wykorzystanie luk zaobserwowane przez Huntress
2026-08-27 PaperCut publikuje pilny biuletyn bezpieczeństwa
2026-08-28 Łatki awaryjne Release 1 i 2, publikacja CVE-2026-81578 i CVE-2026-82078
2026-08-28 Zgłoszenie modułu Metasploit
2026-08-31 CISA dodaje obie luki do katalogu KEV
2026-09-01 Łatka awaryjna Release 3
2026-09-03 Moduł Metasploit włączony do projektu
2026-09-10 Wersje serwisowe 26.0.5, 25.0.13 i 24.1.10
2026-09-14 Termin naprawy wg CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn PaperCut z wersjami i wskaźnikami włamania: PaperCut NG/MF Security Bulletin (27 Aug 2026) . Wpisy w NVD: CVE-2026-82078 i CVE-2026-81578 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy używamy PaperCut NG lub MF i czy panel jest dostępny z internetu | CTO | DZISIAJ |
2 | Zatwierdzić odcięcie panelu od internetu i natychmiastową aktualizację | CTO | DZISIAJ |
3 | Zlecić sprawdzenie wskaźników włamania z biuletynu PaperCut | CTO | DO JUTRA |
4 | Potwierdzić z partnerem wdrożeniowym PaperCut aktualizację wszystkich serwerów | CTO | DO JUTRA |
5 | Zabezpieczyć budżet na ewentualną odbudowę serwera i analizę powłamaniową | CFO | DO JUTRA |
6 | Sprawdzić wymagania polisy cyberubezpieczenia dotyczące zgłaszania incydentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja PaperCut NG lub MF działa na naszym serwerze? | [wersja] | 🔴 |
2 | Czy panel WWW PaperCut jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Czy wszystkie serwery PaperCut, także lokalizacji, mają wersję serwisową z poprawką? | TAK / NIE, [data] | 🔴 |
4 | Czy sprawdziliśmy wskaźniki włamania opublikowane przez PaperCut? | TAK / NIE | 🔴 |
5 | Czy na serwerze są usługa „Remote Access Service” lub AnyDesk, których nie instalowaliśmy? | TAK / NIE | 🟠 |
6 | Czy logi serwera PaperCut są kompletne od 26 sierpnia? | TAK / NIE | 🟠 |
7 | Czy mamy czystą kopię serwera sprzed 26 sierpnia? | TAK / NIE, [data] | 🟡 |
CVE-2026-82078 w połączeniu z CVE-2026-81578 pozwala bez hasła przejąć serwer PaperCut NG/MF, a ataki, publiczny moduł Metasploit i incydenty u klientów są potwierdzone. Pełne wersje serwisowe 26.0.5, 25.0.13 i 24.1.10 są dostępne od 10 września, więc aktualizacja i odcięcie panelu od internetu to zadanie na dziś. Równie ważne jest sprawdzenie wskaźników włamania, bo aktualizacja nie usuwa narzędzi zainstalowanych wcześniej przez napastnika.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.