PaperCut lanzó un segundo parche de emergencia para sus softwares NG y MF tras detectarse vulnerabilidades críticas (CVE-2026-82078 y CVE-2026-81578) que permiten saltar la autenticación y ejecutar código remoto. El nuevo parche es necesario incluso para quienes instalaron la primera versión, ya que se descubrieron formas de evadir las correcciones iniciales. Se recomienda a los usuarios actualizar urgentemente y restringir el acceso a las interfaces web.





PaperCut ha lanzado una segunda actualización de seguridad de emergencia para dos vulnerabilidades activamente explotadas en su software de gestión de impresión PaperCut NG y MF, después de que los investigadores descubrieran múltiples formas de evadir las correcciones iniciales.

PaperCut advirtió que los hackers estaban explotando una vulnerabilidad en ataques de día cero contra los servidores de los clientes y lanzó un parche de emergencia inicial para las versiones 25 y 26 de PaperCut NG/MF.

En aquel momento, sin embargo, la empresa no había revelado los identificadores CVE ni los detalles técnicos sobre las vulnerabilidades, afirmando que estaba reteniendo la información mientras investigaba los ataques y daba tiempo a los clientes para aplicar las correcciones de emergencia.

PaperCut ya ha compartido los detalles técnicos y los identificadores CVE para las dos vulnerabilidades, rastreadas como CVE-2026-82078 y CVE-2026-81578. Estas vulnerabilidades pueden encadenarse para evadir la autenticación y ejecutar código en servidores vulnerables.

CVE-2026-81578 es una vulnerabilidad de evasión de autenticación de severidad alta, calificada con 8.8, que afecta a la interfaz de gestión web de PaperCut NG/MF.

"Bajo condiciones específicas, las solicitudes remotas no autenticadas dirigidas a funciones administrativas pueden desencadenar acciones en el backend antes de que se completen las comprobaciones de validación de acceso", explica el aviso actualizado de PaperCut.

La segunda vulnerabilidad, rastreada como CVE-2026-82078, es un fallo crítico de carga dinámica de clases insegura calificado con 9.4 que existe en las utilidades de conexión a la base de datos de PaperCut.

La aplicación carga clases de controladores de base de datos basadas en nombres de controladores configurables sin validarlos contra una lista de permitidos aprobada.

"Si un atacante puede manipular los parámetros de configuración del sistema, esto permite la ejecución de bytecode de Java arbitrario que resida en el classpath de la aplicación bajo el contexto de seguridad del proceso del servidor PaperCut", explica PaperCut.

La firma de ciberseguridad watchTowr, que ha estado trabajando con PaperCut durante el incidente, dijo en LinkedIn que las vulnerabilidades permiten a atacantes no autenticados evadir la autenticación y obtener la ejecución remota de código en instancias afectadas de PaperCut NG/MF.

Lanzamiento del segundo parche de emergencia

El viernes, PaperCut lanzó el Emergency Patch Release 2, una corrección de seguridad actualizada que incluye un endurecimiento adicional desarrollado tras un análisis más profundo con su equipo de seguridad interno y los investigadores de Huntress y watchTowr.

"Tras un trabajo posterior con nuestro equipo de seguridad interno e investigadores externos, incluidos Huntress y watchTowr, hemos lanzado un Parche de Emergencia actualizado (Release 2) que incluye un endurecimiento adicional más allá del parche de emergencia original", afirmó PaperCut.

La empresa insta a todos los clientes a instalar el Release 2, incluso si ya instalaron el primer parche de emergencia.

Este segundo lanzamiento se produce después de que watchTowr dijera que sus investigadores reprodujeron completamente las vulnerabilidades, descubrieron múltiples formas de evadir el parche e identificaron una vulnerabilidad adicional de evasión de autenticación.