Stara luka w systemie rozliczania wydruków PaperCut pozwala bez logowania pobrać dane pracowników. CISA potwierdza ataki, także ransomware. Zaktualizuj do 20.1.7, 21.2.11 lub 22.0.9 i odetnij panel od internetu.
Ten alert jest dla zarządu, CTO i CFO firm, szkół, kancelarii i przychodni, które rozliczają wydruki w systemie PaperCut NG lub PaperCut MF, często wdrożonym przez dostawcę kopiarek. Werdykt: jeśli serwer PaperCut ma wersję starszą niż 20.1.7, 21.2.11 lub 22.0.9 (w swojej gałęzi), zaktualizuj go dziś i odetnij panel administracyjny od internetu, bo CISA potwierdza wykorzystanie tej luki, także w kampaniach ransomware.
Amerykańska agencja CISA 20 kwietnia 2026 roku dopisała podatność CVE-2023-27351 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To stary błąd, opisany w kwietniu 2023 roku, ale dopiero teraz oficjalnie potwierdzony jako wykorzystywany.
Luka pozwala osobie z sieci, bez logowania, obejść uwierzytelnianie serwera aplikacji PaperCut przez błąd w filtrze żądań (klasa SecurityRequestFilter). Według producenta napastnik może w ten sposób pobrać dane użytkowników: nazwy kont, imiona i nazwiska, adresy e-mail, działy, numery kart przypisanych do osób oraz skróty haseł kont tworzonych wewnątrz PaperCut.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 4 maja 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2023-27351 (także ZDI-23-232, PO-1219, EUVD-2023-31127) |
Data dodania do CISA KEV | 2026-04-20 |
Termin naprawy wg CISA | 2026-05-04 (14 dni od wpisu) |
Produkt | PaperCut NG i PaperCut MF (system zarządzania i rozliczania druku), serwery aplikacji (Application Server) |
Wersje zagrożone | Od 15.0.0 do 19.2.7, od 20.0.0 do 20.1.6, od 21.0.0 do 21.2.10 oraz od 22.0.0 do 22.0.8 (włącznie), na wszystkich systemach operacyjnych. Błąd opisano na instalacji PaperCut NG 22.0.5 |
Wersje bezpieczne | 20.1.7, 21.2.11 oraz 22.0.9 i nowsze (poprawki wydane w marcu 2023 roku). Najnowszą dostępną wersję pokazuje panel: About, Version info, Check for updates |
Typ podatności | Niepoprawne uwierzytelnianie (obejście logowania); CWE-287 |
Ocena CVSS | NVD: 7.5 WYSOKA (CVSS 3.1, tylko odczyt danych). Zero Day Initiative: 8.2 WYSOKA (CVSS 3.0) i producent: 8.2 WYSOKA (CVSS 3.1), z niskim wpływem także na integralność danych. Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie biurowiec z ochroną przy wejściu, która sprawdza identyfikatory. Ochroniarz ma jednak błędny nawyk: jeśli ktoś podejdzie do bramki w określony sposób, uznaje, że ta osoba już wcześniej się wylegitymowała, i przepuszcza ją bez pytań. Drzwi są, ochrona jest, a obcy i tak trafia do pokoju z kartoteką pracowników.
Tak zachowywał się filtr logowania w PaperCut. Serwer druku wydaje się mało ważny, ale zna listę pracowników z ich działami, adresami e-mail i numerami kart dostępu do drukarek, a często także historię tego, kto co drukował. Dla napastnika to gotowy spis firmy do dalszych ataków, np. do podszywania się pod pracowników.
💡 PaperCut NG/MF to program, który rozlicza wydruki, pilnuje limitów i wypuszcza dokument z drukarki po przyłożeniu karty. Serwer aplikacji to główny serwer PaperCut z panelem administracyjnym (domyślnie porty 9191 i 9192). Skrót hasła to zaszyfrowana jednokierunkowo postać hasła, którą przy słabym haśle da się złamać. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba otwiera panel PaperCut | Musi się zalogować | Może obejść logowanie |
Lista użytkowników druku | Widoczna tylko dla administratora | Do pobrania: nazwiska, e-maile, działy, numery kart |
Hasła kont wewnętrznych PaperCut | Niedostępne | Napastnik może pobrać ich skróty (nie dotyczy kont z Active Directory, Microsoft 365, Google Workspace) |
Karty do drukarek | Służą tylko pracownikom | Numery kart mogą posłużyć do podszywania się pod pracowników |
Serwer bez poprawki | Traktowany jak „przystawka do kopiarek” | Ta sama wersja jest podatna także na krytyczną lukę CVE-2023-27350 (przejęcie serwera) |
źródło: Pexels, RDNE Stock projectPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Warunkiem jest dostęp sieciowy do panelu serwera PaperCut, najczęściej wystawionego do internetu; CISA oceniła, że atak da się zautomatyzować. Ponieważ poprawka dla tej luki jest w tych samych wersjach co dla CVE-2023-27350, każdy podatny serwer jest zwykle podatny na obie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Skanowanie internetu w poszukiwaniu paneli PaperCut (domyślnie porty 9191 i 9192) i odczyt wersji | Lista podatnych serwerów |
2. Obejście logowania | T+kilka minut | Wykorzystanie błędu w filtrze żądań | Dostęp do funkcji wymagających zalogowania |
3. Kradzież danych | T+kilkanaście minut | Pobranie listy użytkowników, e-maili, działów, numerów kart i skrótów haseł kont wewnętrznych | Spis pracowników firmy |
4. Eskalacja | T+godziny | Łamanie skrótów haseł lub użycie sąsiedniej luki CVE-2023-27350 do uruchomienia kodu na serwerze | Kontrola nad serwerem druku |
5. Rozprzestrzenienie | T+1 do 7 dni | Instalacja narzędzi zdalnego dostępu, rozpoznanie sieci, podszywanie się pod pracowników w poczcie | Dostęp do kolejnych systemów |
6. Szantaż | T+1 do 4 tygodni | Kradzież i szyfrowanie danych, żądanie okupu | Przestój i żądanie zapłaty |
Mogę Ci jakoś pomóc?
Serwery druku rzadko mają właściciela odpowiedzialnego za aktualizacje: umowa z dostawcą kopiarek zwykle dotyczy sprzętu, a nie oprogramowania. Tymczasem luka jest znana od 2023 roku, a serwer z niezałataną wersją jest jednocześnie podatny na krytyczną lukę pozwalającą przejąć cały serwer.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączony druk i skanowanie, a przy ataku ransomware przestój innych systemów | Dni do tygodni od wejścia | 20 tys. do 300 tys. PLN (przestój, odbudowa serwera) |
Bezpieczeństwo danych | Wyciek danych pracowników, numerów kart, skrótów haseł, historii druku | Minuty od ataku | 20 tys. do 150 tys. PLN (analiza powłamaniowa, wymiana kart i haseł) |
Finansowy | Okup, koszty specjalistów, straty po oszustwach z użyciem wykradzionych danych | Tygodnie | 50 tys. do 600 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i pacjentów, pytania od partnerów | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera PaperCut bez poprawki,
dostępnego z internetu
A = sama luka CVE-2023-27351 (odczyt danych)
B = ten sam serwer, podatny też na CVE-2023-27350
Wpływ
5 | . . . . B ← KRYTYCZNE (B)
4 | . . . . .
3 | . . . A . ← WYSOKIE (A)
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: sama CVE-2023-27351 to przede wszystkim wyciek danych (wpływ średni, prawdopodobieństwo wysokie), ale ponieważ poprawka jest wspólna z krytyczną CVE-2023-27350, niezałatany serwer należy w praktyce traktować jako krytyczne ryzyko przejęcia.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy w firmie działa PaperCut NG lub MF, jaka jest wersja i kto go utrzymuje (dział IT czy dostawca kopiarek) | Dziś | CTO |
2 | 🔴 NATYCHMIAST | Zablokować dostęp z internetu do panelu administracyjnego (domyślnie porty 9191 i 9192) | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować wszystkie serwery aplikacji i serwery lokalne (Site Servers) do 20.1.7, 21.2.11 lub 22.0.9 i nowszej | Do 2 dni | Administrator / partner PaperCut |
4 | 🟠 PILNIE | Sprawdzić wskaźniki włamania z biuletynu producenta: nieoczekiwane logowania „admin”, zmiany skryptów drukarek i kluczy konfiguracji, nowe klucze SSH | Do 3 dni | Dział IT / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zmienić hasła kont tworzonych wewnątrz PaperCut i rozważyć wymianę numerów kart, jeśli serwer był dostępny z internetu bez poprawki | Do 7 dni | Administrator PaperCut |
6 | 🟡 WAŻNIE | Dopisać serwer druku do rejestru systemów i rejestru czynności przetwarzania danych, z osobą odpowiedzialną za aktualizacje | Do 30 dni | CTO / inspektor ochrony danych |
7 | 🟡 WAŻNIE | Uzgodnić z dostawcą kopiarek zakres odpowiedzialności za aktualizacje oprogramowania | Do 30 dni | CFO (umowa) |
Producent wydał poprawki dla gałęzi 20, 21 i 22 już w 2023 roku, więc aktualizacja jest właściwym rozwiązaniem. Dla starszych wersji bez poprawki producent zaleca ograniczenie dostępu sieciowego. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada ruchu z zewnętrznych adresów do portów panelu 9191 i 9192 (zalecenie producenta) | Wysoka wobec ataków z internetu, nie chroni przed napastnikiem już obecnym w sieci | Łatwa |
Lista dozwolonych adresów serwerów lokalnych: Options, Advanced, Security, Allowed site server IP addresses (zalecenie producenta, dotyczy właśnie tej luki) | Wysoka dla CVE-2023-27351, nie chroni przed CVE-2023-27350 | Łatwa do średniej |
Blokada ruchu do panelu na zaporze przy samym serwerze, zarządzanie tylko lokalnie (zalecenie producenta) | Wysoka, także wobec ruchu z wewnątrz sieci | Średnia: utrudnia administrację |
Przegląd logów aplikacji i zabezpieczeń serwera | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Logowanie do panelu | Możliwe obejście bez hasła | Uwierzytelnianie działa poprawnie |
Dane pracowników w PaperCut | Do pobrania przez obcą osobę | Dostępne tylko dla administratora |
Dostęp z internetu | Panel widoczny dla skanerów | Panel dostępny tylko z sieci firmowej |
Ryzyko przejęcia serwera (CVE-2023-27350) | Wysokie, ta sama zaległa wersja | Zamknięte tą samą aktualizacją |
Odpowiedzialność | Nikt nie aktualizuje „serwera od kopiarek” | Właściciel i termin aktualizacji zapisane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA oceniła wykorzystanie jako aktywne, możliwe do automatyzacji, z całkowitym wpływem technicznym. W 2023 roku producent pisał, że nie ma dowodów na użycie właśnie tej luki przeciw klientom; ataki dotyczyły wtedy głównie CVE-2023-27350 |
Grupy przestępcze | Brak publicznych informacji o grupach wykorzystujących konkretnie CVE-2023-27351. Wspólny poradnik FBI i CISA AA23-131A z maja 2023 roku dotyczy wyłącznie CVE-2023-27350 |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnych kampanii |
Ocena CVSS | 7.5 WYSOKA wg NVD (CVSS 3.1); 8.2 WYSOKA wg Zero Day Initiative (CVSS 3.0) i producenta (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji dotyczących tej konkretnej luki |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Trend Micro Zero Day Initiative (zgłoszenie ZDI-CAN-19226) |
Prognoza EPSS | 0,77 (około 77% szansy próby wykorzystania w 30 dni), percentyl 0,995 (wg analizy źródłowej) |
Różnica między 7.5 a 8.2 wynika z jednego pytania: czy napastnik może tylko odczytać dane (NVD), czy także coś zmienić (ZDI i producent). Dla firmy rozliczającej klientów z wydruków bezpieczniej przyjąć wyższą ocenę.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2023-27351
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
CVSS 3.1 (producent) 8.2/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~77% ███████████████░░░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana 2023-03 PaperCut wydaje wersje 20.1.7, 21.2.11 i 22.0.9 z poprawkami
2023-04-13 Najwcześniejszy ślad ataku na klienta (dotyczy CVE-2023-27350)
2023-04-20 Publikacja CVE-2023-27351 w NVD
2023-04-21 CISA dodaje bliźniaczą CVE-2023-27350 do KEV
2023-05-11 Poradnik FBI i CISA AA23-131A (tylko CVE-2023-27350)
2026-04-20 CISA dodaje CVE-2023-27351 do KEV, ransomware: Known
2026-05-04 Termin naprawy wg CISA dla agencji federalnych
2026-08-20 Ostatnia aktualizacja biuletynu producenta
... ponad 3 lata od wydania poprawki
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami, obejściami i wskaźnikami włamania: papercut.com/kb/Main/PO-1216-and-PO-1219 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2023-27351 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma używa PaperCut NG lub MF i kto odpowiada za jego aktualizacje | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji serwera i dostępności panelu z internetu | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastowe odcięcie panelu od internetu | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na aktualizację serwerów PaperCut | CTO | DO JUTRA |
5 | Zlecić sprawdzenie wskaźników włamania z biuletynu producenta | CTO | DO JUTRA |
6 | Sprawdzić w umowie z dostawcą kopiarek, kto odpowiada za oprogramowanie i jego aktualizacje | CFO | DO JUTRA |
7 | Zarezerwować budżet na analizę powłamaniową, jeśli sprawdzenie coś wykaże | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy w firmie działa PaperCut NG lub PaperCut MF? | TAK / NIE | 🔴 |
2 | Jaka jest wersja serwera aplikacji PaperCut? | [wersja] | 🔴 |
3 | Czy panel PaperCut (porty 9191 i 9192) jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Kiedy serwer zaktualizowano do 20.1.7, 21.2.11, 22.0.9 lub nowszej? | [data] | 🔴 |
5 | Czy sprawdzono wskaźniki włamania z biuletynu producenta? | TAK / NIE, [data] | 🟠 |
6 | Czy w PaperCut są konta wewnętrzne z własnymi hasłami (poza kontami z katalogu firmowego)? | TAK / NIE | 🟠 |
7 | Kto formalnie odpowiada za aktualizacje oprogramowania druku? | [osoba lub firma] | 🟡 |
CVE-2023-27351 pozwala bez logowania obejść uwierzytelnianie w PaperCut NG i MF i pobrać dane pracowników, a CISA od kwietnia 2026 roku potwierdza jej wykorzystanie, także w kampaniach ransomware. Poprawki istnieją od 2023 roku i zamykają jednocześnie krytyczną CVE-2023-27350, więc odcięcie panelu od internetu i aktualizacja to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.