PaperCut corrige deux zero-days RCE en exploitation active

Deux zero-days enchaînés, un premier patch contourné en moins de 48 heures

Le 27 août 2026, PaperCut Software a émis un bulletin de sécurité d'urgence pour deux vulnérabilités zero-day découvertes dans ses produits PaperCut NG et PaperCut MF, les solutions de gestion d'impression les plus déployées dans les environnements éducatifs et d'entreprise dans le monde. Les deux failles, identifiées comme CVE-2026-82078 (CVSS 9.4, Critique) et CVE-2026-81578 (CVSS 8.8, Élevé), étaient déjà activement exploitées avant même qu'un patch soit disponible, selon les informations publiées par BleepingComputer, SC Media et Cybersecurity Dive.

Huntress — un acteur spécialisé dans la détection et réponse pour les PME — a signalé avoir détecté l'exploitation de ces deux CVE dans deux environnements clients distincts dès le jour de la divulgation. La rapidité de l'exploitation suggère que les attaquants avaient connaissance des failles avant leur divulgation publique, ou qu'ils ont procédé à une ingénierie inverse ultra-rapide dès la publication du bulletin de sécurité, une technique de plus en plus courante chez les groupes APT disposant de ressources suffisantes.

La nature technique des deux vulnérabilités est particulièrement préoccupante car elles forment une chaîne d'attaque dévastatrice. CVE-2026-81578 est un contournement d'authentification affectant l'interface de gestion web de PaperCut NG/MF. Elle permet à un attaquant non authentifié d'envoyer des requêtes distantes ciblant des fonctions administratives qui s'exécutent avant que les contrôles d'accès ne soient pleinement appliqués — un défaut de race condition dans la validation des permissions. En pratique, cela signifie qu'un attaquant sans aucun compte sur le système peut déclencher des actions réservées aux administrateurs.

CVE-2026-82078 va plus loin encore. Elle exploite un chargement dynamique de classes Java non sécurisé dans les utilitaires de connexion aux bases de données. PaperCut instancie des classes de pilotes de base de données en se basant sur des noms de pilotes stockés dans sa configuration — sans valider ces noms contre une liste d'autorisation. Un attaquant ayant déjà obtenu la capacité de modifier la configuration de PaperCut (par exemple via CVE-2026-81578) peut injecter un nom de classe malicieux qui sera instancié par la JVM, permettant l'exécution de code Java arbitraire sur le serveur. La chaîne est redoutable : CVE-2026-81578 ouvre la porte, CVE-2026-82078 prend le contrôle du serveur.

PaperCut a travaillé en urgence avec les équipes de recherche de watchTowr et Huntress pour développer et tester un premier correctif, publié le 27 août dans les heures suivant la divulgation. Mais dès le lendemain 28 août, il est apparu que des attaquants avaient trouvé un moyen de contourner ce premier patch. PaperCut a immédiatement réagi en publiant une Emergency Patch Release 2, coconstruite avec watchTowr et Huntress pour colmater à la fois les failles initiales et les vecteurs de contournement identifiés.

La timeline est éloquente : détection et divulgation le 27 août, premier patch le 27 août, exploitation active du contournement détectée dans la nuit, second patch le 28 août. Ce rythme frénétique illustre la pression à laquelle sont soumis les éditeurs lorsqu'une vulnérabilité critique est activement exploitée — et la sophistication croissante des attaquants qui analysent les correctifs en temps réel pour en trouver les failles résiduelles, une technique dite de patch diffing.

PaperCut NG et MF sont déployés dans des milliers d'organisations dans le monde : universités, hôpitaux, collectivités territoriales, grandes entreprises. Ce type de logiciel de gestion d'impression bénéficie souvent de privilèges élevés sur les serveurs Windows ou Linux sur lesquels il tourne — les serveurs d'impression ont fréquemment accès à des répertoires partagés, à des bases de données RH ou de facturation, et à des flux d'impression contenant des documents confidentiels. Un accès initial via PaperCut peut rapidement devenir une tête de pont pour un mouvement latéral dans toute l'infrastructure.

Ce n'est pas la première fois que PaperCut se retrouve au cœur d'une tempête sécuritaire. En 2023, les CVE-2023-27350 et CVE-2023-27351 avaient été exploitées de manière similaire — RCE sans authentification — avec une exploitation massive documentée par la CISA, Cl0p et LockBit ayant utilisé ces failles pour s'installer dans des dizaines d'organisations à travers le monde. L'histoire se répète, ce qui devrait alerter les RSSI sur la criticité permanente de ce vecteur d'attaque.

Un logiciel d'impression, un risque systémique sous-estimé

Les logiciels de gestion d'impression comme PaperCut font partie d'une catégorie d'outils que l'on pourrait qualifier de « shadow infrastructure » — des solutions métiers critiques, profondément enracinées dans les organisations, mais qui échappent souvent aux cycles de patch management prioritaires réservés aux OS, aux firewalls et aux solutions de sécurité. L'équipe IT pense au patch de Windows Server, à la mise à jour de Fortinet, à la mise à niveau d'Active Directory — mais PaperCut, qui tourne silencieusement depuis des années sur un serveur dans une salle machine, est fréquemment oublié ou relégué en bas de liste des priorités.

Ce pattern est bien connu des équipes red team et des groupes APT. Les logiciels métiers spécialisés, souvent achetés et gérés par des équipes fonctionnelles (reprographie, services généraux) plutôt que par la DSI centrale, créent des angles morts dans la gouvernance de la sécurité. Ils sont moins surveillés, moins auditables via les solutions SIEM standard, et leurs journaux d'événements sont rarement remontés vers les équipes SOC. Une installation PaperCut compromise peut passer inaperçue pendant des semaines si les logs ne sont pas centralisés.

La situation est aggravée par la nature de l'exploitation chaînable de ces deux CVE. Un attaquant n'a besoin d'aucun accès préalable pour déclencher la chaîne CVE-2026-81578 → CVE-2026-82078 depuis l'interface web de gestion. Si celle-ci est exposée sur l'intranet — ce qui est le cas nominal — et que le serveur PaperCut est joint au domaine Active Directory (configuration quasi-universelle), le compte de service PaperCut peut ensuite être utilisé pour pivoter vers des ressources partagées, des contrôleurs de domaine ou des serveurs de sauvegarde.

Pour les organisations sous NIS2 ou DORA, cet incident rappelle une obligation concrète : maintenir un inventaire complet des logiciels exposés (même en interne) et les intégrer dans le processus de vulnerability management. La conformité réglementaire ne se limite pas aux briques de sécurité périmétrique ; elle englobe l'ensemble du parc applicatif. Un audit de surface d'attaque applicative, réalisé par un prestataire qualifié PASSI (Prestataire d'Audit de la Sécurité des Systèmes d'Information), permettrait d'identifier ces angles morts avant qu'un attaquant ne le fasse à votre place.

Ce qu'il faut retenir

• Appliquer immédiatement l'Emergency Patch Release 2 de PaperCut NG/MF (publiée le 28 août 2026) — le premier patch a été contourné et ne suffit pas à protéger votre infrastructure.
• CVE-2026-82078 (CVSS 9.4) et CVE-2026-81578 (CVSS 8.8) forment une chaîne d'attaque permettant l'exécution de code arbitraire sur le serveur sans authentification préalable.
• Intégrer PaperCut (et les logiciels métiers similaires) dans le processus formel de vulnerability management, au même titre que les OS et équipements réseau.