Неодамна закрпените zero-day пропусти во PaperCut се користат во напади за кражба на податоци

Две безбедносни ранливости во софтверот за управување со печатење PaperCut NG и MF, кои беа закрпени минатата недела откако беа искористени како zero-day пропусти, сега се злоупотребуваат во напади за кражба на податоци.

Според компанијата PaperCut Software, нејзиниот софтвер го користат 100 милиони корисници во повеќе од 70.000 организации, вклучувајќи големи компании, државни агенции и образовни институции.

Ранливостите, следени под ознаките CVE-2026-81578 и CVE-2026-82078, може да се искористат комбинирано за заобиколување на автентикацијата и добивање можност за далечинско извршување код (RCE) на ранливите сервери за управување со печатење PaperCut NG и MF.

PaperCut Software објави два пакета итни безбедносни закрпи во четвртокот и петокот за да ги отстрани ранливостите, а објави и индикатори за компромитација (IoC) за да им помогне на администраторите и безбедносните тимови да ги блокираат тековните напади. Сепак, компанијата сè уште не ги поврзала нападите со конкретен напаѓач или група и нема објаснето што прават напаѓачите откако ќе ги компромитираат ранливите сервери.

Во текот на викендот, компанијата за разузнавање за сајбер-закани Defused исто така потврди дека напаѓачите почнале активно да ги злоупотребуваат двете ранливости за кражба на податоци од серверите на жртвите.

„Забележуваме активност поврзана со експлоатирање на CVE-2026-81578 / CVE-2026-82078 (PaperCut NG/MF) во нашите honeypot системи од доцна вчера, по UTC време (29 август)“, соопшти Defused. „Еден напаѓач ја злоупотребува можноста за заобиколување на автентикацијата за да ја преземе контролата врз надворешното пребарување на корисници во PaperCut. За разлика од патеката за далечинско извршување код (RCE) опишана во јавно достапните анализи, напаѓачот се фокусира на кражба на податоци — извлекувајќи ги табелите од базата на податоци преку Derby.“

Интернет-безбедносната организација Shadowserver во моментов следи повеќе од 800 PaperCut MF и NG сервери кои се изложени на интернет. Сепак, нема информации колку од нив се honeypot системи или колку веќе се заштитени од овие напади.

И хакерски групи поддржани од држави и рансомвер групи претходно ги таргетирале безбедносните пропусти во PaperCut, активно искористувајќи ги во реални напади во текот на изминатите неколку години.

Критична ранливост за далечинско извршување код (CVE–2023–27350) и ранливост со висока сериозност за откривање информации (CVE–2023–27351) биле искористени заедно во нападите од април 2023 година, кои биле поврзани со рансомвер групите LockBit и Clop.

Microsoft две недели подоцна откри дека во нападите се вклучиле и иранските хакерски групи поддржани од државата MuddyWater и APT35.

Како што објасни компанијата во тоа време, групите за сајбер-закани ја злоупотребиле функцијата „Print Archiving“, која е дизајнирана да ги зачувува сите документи испратени преку серверите за печатење PaperCut.

Еден месец подоцна, во мај 2023 година, FBI и CISA предупредија дека и рансомвер групата Bl00dy започнала да ја искористува ранливоста CVE–2023–27350 за иницијален пристап до мрежите на целните организации.

Агенцијата за сајбер-безбедност и инфраструктурна безбедност (CISA) во јули 2025 година означи уште една ранливост за далечинско извршување код (CVE-2023-2533) како активно искористувана во напади.

Извори:

• Bleeping Computer – Recently patched PaperCut zero-days used in data theft attacks Bleeping Computer