Le 27 août 2026, PaperCut Software a publié un bulletin de sécurité urgent confirmant ce que chaque organisation disposant d'une infrastructure d'impression accessible à Internet redoutait : des attaquants exploitaient activement une chaîne de vulnérabilités précédemment inconnue dans PaperCut NG et PaperCut MF. En 48 heures, le fournisseur avait attribué deux CVE, publié un correctif d'urgence, découvert que ce correctif avait été contourné, et publié un deuxième correctif d'urgence développé avec l'aide des chercheurs de Huntress et watchTowr.
C'est l'un des cycles publics correctif-contournement-recorrectif les plus rapides de la mémoire récente. Et il expose une vérité inconfortable : le logiciel dont votre bureau dépend chaque jour pourrait être le maillon le plus faible de votre posture de sécurité.
Les deux failles qui ont tout changé
La chaîne d'attaque combine deux vulnérabilités qui sont dévastatrices seules mais catastrophiques ensemble.
CVE-2026-81578 (CVSS 8,8) est une contournement d'authentification dans l'interface de gestion web de PaperCut. Sous des conditions spécifiques, les requêtes distantes non authentifiées ciblant les fonctions administratives peuvent déclencher des actions backend avant que les vérifications de validation d'accès soient terminées. En termes simples : un attaquant peut atteindre des fonctions de niveau administrateur sans jamais fournir de mot de passe.
CVE-2026-82078 (CVSS 9,4) est une faille de chargement dynamique de classes non sécurisée dans les utilitaires de connexion à la base de données. L'application charge les classes de pilote de base de données en fonction de noms de pilote configurables sans les valider contre une liste autorisée. Si un attaquant peut manipuler les paramètres de configuration du système, il peut exécuter du bytecode Java arbitraire sous le contexte de sécurité du processus serveur PaperCut.
Ensemble, ces failles créent une chaîne propre d'exécution de code à distance pré-authentification. Comme l'a expliqué Jake Knott de watchTowr : "CVE-2026-81578 permet de contourner l'authentification, et de là vous pouvez modifier un fichier de configuration pour exploiter CVE-2026-82078 et obtenir l'exécution de code à distance."
Exploitation active dans la nature
Ce n'était pas un exercice théorique. Huntress a observé l'exploitation dans deux environnements clients les 26-27 août, avec une activité d'attaquants concentrée sur des commandes de découverte système comme whoami, ver et tasklist, accompagnée d'une forte activité anti-forensique.
Les attaquants étaient méthodiques. Ils ont obtenu l'accès via le contournement d'authentification, modifié la configuration du système pour charger une classe Java malveillante, puis exécuté des commandes de reconnaissance pour comprendre l'environnement compromis avant de couvrir leurs traces.
Ce qui rend cela particulièrement dangereux, c'est que les serveurs PaperCut sont souvent conçus pour être accessibles à Internet. Les organisations les déploient pour permettre aux employés d'imprimer depuis n'importe où. Cette commodité vient de se transformer en une porte ouverte.
Le correctif qui n'a pas suffi
C'est là que l'histoire devient alarmante. PaperCut a publié un premier correctif d'urgence le 27 août. En quelques heures, les chercheurs de watchTowr ont entièrement reproduit les vulnérabilités, découvert plusieurs contournements pour le premier correctif et identifié une vulnérabilité supplémentaire de contournement d'authentification.
Cela a forcé PaperCut à publier l'Emergency Patch Release 2 le 28 août, incorporant un renforcement supplémentaire développé en collaboration avec Huntress et watchTowr.
"Si vous n'avez appliqué que le premier correctif, vous n'êtes pas protégé," a averti PaperCut. C'est une distinction critique pour les équipes IT qui ont peut-être corrigé mercredi et supposé qu'elles étaient en sécurité jeudi.
La majorité inpatchable
Peut-être la statistique la plus accablante vient de Huntress : environ 47% des quelque 2 500 installations PaperCut qu'ils suivent fonctionnent sous la version 23 ou antérieure. Pour ces systèmes, aucun correctif d'urgence n'existe. Le seul chemin est une mise à niveau complète.
Cela signifie que près de la moitié de toutes les installations PaperCut connues ne peuvent pas être corrigées contre cette chaîne de vulnérabilités sans une mise à niveau de version majeure — un processus qui nécessite généralement de la planification, des tests et des temps d'arrêt que de nombreuses organisations ne peuvent pas organiser à court préavis.
Détection et réponse
La bonne nouvelle est que la détection est faisable dès maintenant. Les signatures de log confirmées par le fournisseur incluent :
ERROR DatabaseUtils - Database error looking up cardID: VALUES CASTERROR No suitable driver found for jdbc:no:x- Le breadcrumb
jdbc:derby:memory:pwndans les logs serveur
Les équipes de sécurité doivent immédiatement :
- Vérifier votre version. Si vous exécutez PaperCut NG ou MF, confirmez si vous êtes sur v24 ou ultérieur. Si vous êtes sur v23 ou antérieur, planifiez une mise à jour d'urgence.
- Appliquer l'Emergency Patch Release 2. Même si vous avez déjà installé le premier correctif, Release 2 est obligatoire. Le premier correctif a été contourné.
- Auditer vos logs. Recherchez les chaînes d'indicateurs ci-dessus. Si vous les trouvez, supposez une compromission et commencez la réponse aux incidents.
- Restreindre l'accès. Si vous ne pouvez pas corriger immédiatement, retirez l'interface de gestion web d'Internet public. L'accès VPN uniquement est une solution temporaire viable.
- Surveiller l'activité de suivi. Les attaquants ayant obtenu l'accès ont pu établir de la persistance. Vérifiez les nouveaux comptes utilisateurs, les tâches planifiées et les connexions réseau inhabituelles.
Ce que cela signifie pour votre entreprise
L'incident PaperCut est un signal d'alarme concernant le risque de la chaîne d'approvisionnement dans l'infrastructure quotidienne. Le logiciel de gestion d'impression n'est pas glamour. Il ne reçoit pas le même examen de sécurité que votre fournisseur d'identité ou votre plateforme cloud. Mais il est assis sur votre réseau, s'exécute avec des privilèges élevés et fait souvent face à Internet.
Ce schéma — des attaquants ciblant des logiciels d'infrastructure négligés — s'accélère. De PaperCut à MOVEit en passant par Barracuda, la leçon est cohérente : s'il est connecté, c'est une cible.
Pour les organisations au Moyen-Orient et au-delà, c'est le moment d'auditer vos actifs accessibles à Internet. Pas seulement les évidents. Le serveur d'impression, la console de sauvegarde, l'interface de gestion que "personne n'utilise" — ce sont exactement les portes par lesquelles les attaquants passent.
La conclusion : Corrigez PaperCut vers Release 2 aujourd'hui. Si vous ne pouvez pas corriger, isolez. Et pendant que vous y êtes, demandez-vous quelle autre infrastructure de "configurer et oublier" est assise sur votre réseau, attendant d'être découverte.