PaperCut : deux zero-days RCE chaînés sous exploitation active

Deux zero-days enchaînés pour un RCE root : la chaîne d'exploitation PaperCut expliquée

PaperCut Software, éditeur australien du logiciel de gestion d'impression PaperCut NG et PaperCut MF déployé dans des millions d'établissements scolaires, universités et entreprises à travers le monde, a confirmé l'exploitation active en conditions réelles de deux vulnérabilités zero-day critiques. Ces failles, référencées CVE-2026-81578 et CVE-2026-82078, ont été enchaînées par des acteurs malveillants pour obtenir un contrôle total sur les serveurs d'application exposés sur Internet, avec des privilèges root.

La première vulnérabilité, CVE-2026-81578, est un contournement d'authentification de sévérité haute avec un score CVSS de 8.8. Elle affecte directement l'interface web d'administration de PaperCut NG et PaperCut MF, accessible par défaut sur les ports 9191 (HTTP) et 9192 (HTTPS). Cette faille permet à un attaquant distant non authentifié de court-circuiter entièrement le mécanisme de vérification d'identité de la console de gestion, lui accordant un accès illimité à toutes les fonctionnalités d'administration : gestion des utilisateurs, configuration des imprimantes, accès aux journaux d'impression et aux paramètres de connexion aux annuaires LDAP et Active Directory.

La seconde vulnérabilité, CVE-2026-82078, est un défaut de chargement dynamique de classe Java non sécurisé dans le moteur d'exécution de PaperCut. Exploitée seule, elle nécessiterait d'être déjà authentifié. Mais couplée à CVE-2026-81578, la chaîne est dévastatrice : une fois l'authentification contournée, un attaquant peut injecter et exécuter du bytecode Java arbitraire directement sur le serveur. Les chercheurs de Huntress, qui ont collaboré avec PaperCut sur la réponse à incident, qualifient cette chaîne d'exploit de type "point and shoot" — une exploitation reproductible, fiable, ne nécessitant aucune connaissance spécifique de l'environnement cible au-delà de son adresse IP publique.

La chronologie des événements illustre la rapidité avec laquelle la situation s'est dégradée. PaperCut a identifié les premières tentatives d'exploitation début septembre 2026 et a publié un premier Emergency Patch Release en urgence. Face à la persistance des attaques, deux patches d'urgence supplémentaires ont dû être émis dans les jours suivants, signe que les correctifs initiaux ne couvraient pas l'intégralité des vecteurs d'exploitation. C'est finalement le 10 septembre 2026 que PaperCut a publié des releases de maintenance régulières — versions 26.0.5, 25.0.13 et 24.1.10 — après un cycle complet d'assurance qualité, intégrant toutes les corrections de sécurité et des mesures de durcissement supplémentaires.

PaperCut a officiellement confirmé que plusieurs clients ont été compromis avec succès. La société travaille en étroite collaboration avec les équipes de recherche de Huntress et watchTowr pour documenter l'étendue des attaques et identifier les indicateurs de compromission. Selon eSentire et Huntress, le secteur éducatif est particulièrement ciblé : une campagne de vol de credentials a visé des universités et des lycées utilisant CVE-2026-81578 pour extraire des informations d'identification Active Directory depuis la configuration des serveurs PaperCut.

Les deux CVE ont été ajoutés par l'agence américaine CISA (Cybersecurity and Infrastructure Security Agency) à son catalogue KEV (Known Exploited Vulnerabilities), qui recense les failles faisant l'objet d'une exploitation active confirmée dans la nature. Cette inscription impose aux agences fédérales américaines relevant du FCEB un délai contraignant pour appliquer les correctifs. Les entreprises privées ne sont pas formellement assujetties à cette obligation, mais l'inscription au KEV constitue un signal d'alarme fort et justifie un traitement en urgence absolue.

Pour les organisations ne pouvant pas patcher immédiatement, PaperCut recommande en priorité de bloquer l'accès aux ports 9191 et 9192 depuis Internet via des règles de filtrage réseau. L'interface d'administration ne devrait en aucun cas être exposée directement sur le réseau public sans contrôle d'accès renforcé. La mise en place d'un VPN ou d'un bastion d'administration pour l'accès à ces ports constitue la meilleure pratique architecturale. Les organisations disposant d'un WAF (Web Application Firewall) peuvent également déployer des règles spécifiques en attendant la mise à jour, bien que cette mitigation soit considérée comme insuffisante à long terme par les chercheurs en sécurité.

Les indicateurs de compromission disponibles incluent des connexions HTTP anormales vers les endpoints d'administration depuis des adresses IP externes, des fichiers JAR inattendus dans les répertoires temporaires de PaperCut, et des processus Java enfants inhabituels lancés depuis le service PaperCut. Une revue des journaux d'accès des semaines précédentes est fortement recommandée pour toute organisation qui aurait exposé son serveur PaperCut sur Internet.

PaperCut, ou pourquoi les logiciels d'impression sont des cibles de haute valeur systématiquement sous-estimées

La découverte et l'exploitation active de ces deux zero-days s'inscrit dans un schéma récurrent que le secteur de la cybersécurité peine à briser. PaperCut avait déjà été au cœur d'une crise majeure en 2023 avec CVE-2023-27350, une faille d'exécution de code non authentifiée ayant un score CVSS de 9.8, exploitée massivement par les groupes de ransomware Cl0p et LockBit. À l'époque, des dizaines de milliers de serveurs avaient été compromis avant que les organisations concernées réalisent l'urgence de la situation. Trois ans plus tard, l'histoire se répète avec les mêmes secteurs victimes — éducatif, gouvernements locaux, santé — et les mêmes angles morts opérationnels.

La raison fondamentale de cette vulnérabilité structurelle tient à la nature même des logiciels de gestion d'impression. PaperCut appartient à la catégorie des actifs fantômes de nombreuses directions informatiques : déployé il y a plusieurs années, géré par une équipe infrastructure différente de l'équipe sécurité, rarement inclus dans les programmes de patch management prioritaires, et fréquemment exposé sur Internet pour permettre aux utilisateurs distants ou aux prestataires d'accéder à la gestion des imprimantes. Son interface d'administration sur port non-standard (9191/9192) échappe souvent aux scanners de vulnérabilités configurés uniquement pour les ports 80 et 443.

La valeur offensive de PaperCut pour un attaquant dépasse largement la compromission du serveur lui-même. Ces logiciels stockent dans leur configuration des service accounts LDAP et Active Directory, des credentials SMTP pour les notifications, des connexions à des bases de données SQL — autant de points d'entrée vers l'infrastructure interne. Leur proximité réseau avec les contrôleurs de domaine en fait des pivots idéaux pour des mouvements latéraux. Enfin, les journaux d'impression contiennent des métadonnées révélatrices : qui imprime quoi, quand, sur quel poste — des informations exploitables dans une attaque ciblée.

Pour les équipes de sécurité, cet incident souligne l'importance de deux pratiques que beaucoup d'organisations négligent : d'abord, un inventaire exhaustif et régulier des services web exposés sur Internet incluant les ports non-standards ; ensuite, l'intégration des applications périphériques comme les logiciels d'impression dans le programme de patch management avec les mêmes critères de priorité que les applications métier critiques. La règle devrait être claire : toute interface d'administration exposée sur Internet sans nécessité absolue est une surface d'attaque inacceptable.

Ce qu'il faut retenir

• Mettre à jour PaperCut NG/MF vers les versions 26.0.5, 25.0.13 ou 24.1.10 immédiatement si votre serveur est accessible depuis Internet : la chaîne d'exploitation est publique et triviale.
• CVE-2026-81578 + CVE-2026-82078 permet un RCE root sans aucune authentification préalable ; le secteur éducatif est activement ciblé pour le vol de credentials Active Directory.
• Auditer systématiquement l'exposition externe sur ports non-standards (9191/9192) et intégrer les logiciels de gestion d'impression dans votre programme de patch management prioritaire.