PaperCut NG e PaperCut MF sono sotto attacco attivo. Il 27 agosto 2026 il produttore ha confermato incidenti reali ai danni di clienti e ha distribuito aggiornamenti di emergenza. Le analisi successive hanno identificato due vulnerabilità, CVE-2026-81578 e CVE-2026-82078, che possono essere concatenate per arrivare all’esecuzione di codice da remoto senza autenticazione.
Per aziende, studi professionali, scuole e organizzazioni che utilizzano PaperCut per la gestione centralizzata delle stampe, non è un aggiornamento da rimandare al normale ciclo di manutenzione: i server esposti devono essere verificati e messi in sicurezza subito.
Che cosa sta succedendo a PaperCut NG e MF
PaperCut ha comunicato di essere a conoscenza di compromissioni confermate. I ricercatori di sicurezza hanno poi ricostruito una catena di attacco pre-autenticazione: un aggressore può sfruttare un problema di controllo degli accessi nell’interfaccia di amministrazione e, combinandolo con una seconda vulnerabilità, arrivare all’esecuzione di codice sul server.
Le due falle sono state classificate come CVE-2026-81578, con punteggio CVSS 8,8, e CVE-2026-82078, con CVSS 9,4. Quest’ultima riguarda il caricamento dinamico non sicuro di classi Java nelle utility di connessione al database.
Perché il rischio è particolarmente alto
Un server PaperCut non è una semplice stampante di rete: spesso dialoga con directory aziendali, utenti, code di stampa e sistemi interni. La possibilità di eseguire codice sul server rende quindi l’incidente potenzialmente molto più serio del solo blocco del servizio di stampa.
Il precedente del 2023 merita attenzione: vulnerabilità critiche di PaperCut furono sfruttate anche da gruppi ransomware. Questo non significa che l’attuale campagna porterà necessariamente allo stesso risultato, ma rende poco prudente attendere prima di intervenire.
Quali installazioni PaperCut devono essere controllate
La raccomandazione è verificare immediatamente tutte le installazioni di PaperCut NG e PaperCut MF, soprattutto quando l’Application Server o le sue interfacce web risultano raggiungibili da Internet.
Il produttore ha rilasciato Emergency Patch Release 2 per le versioni 24, 25 e 26 su Windows, Linux e macOS. Chi utilizza versioni 23 o precedenti dovrebbe pianificare l’aggiornamento alla versione più recente supportata anziché attendere una correzione per release obsolete.
Cosa fare subito: checklist operativa
- Identificare tutti i server PaperCut NG/MF presenti nell’infrastruttura, inclusi eventuali sistemi secondari o dimenticati.
- Verificare se l’Application Server è esposto a Internet. Se non è strettamente necessario, rimuovere immediatamente l’esposizione pubblica.
- Installare Emergency Patch Release 2. Anche chi aveva già applicato la prima patch di emergenza deve passare alla seconda release, che contiene ulteriori misure di hardening.
- Limitare l’accesso alle interfacce web tramite firewall, ACL, VPN o indirizzi IP attendibili.
- Controllare server.log. File improvvisamente cancellati, troncati o modificati possono essere un segnale da approfondire.
- Verificare gli alert EDR, IDS e firewall relativi al PaperCut Application Server e in particolare attività anomale originate dal processo
pc-app.exe. - Se emergono indicatori sospetti, trattare il server come potenzialmente compromesso: preservare i log, isolare il sistema e avviare l’analisi dell’incidente prima di limitarsi alla sola installazione della patch.
Installare la patch basta?
No, se il server era esposto durante il periodo di sfruttamento. Una patch impedisce nuovi tentativi basati sulla vulnerabilità corretta, ma non elimina automaticamente eventuali accessi già ottenuti dall’attaccante.
Per questo è importante distinguere tra vulnerability management e incident response: se esistono anomalie nei log, processi inattesi, connessioni sospette o modifiche non spiegate, occorre verificare l’integrità del sistema e delle credenziali utilizzate.
PaperCut e ransomware: perché non sottovalutare l’avviso
Nel 2023 vulnerabilità di PaperCut furono sfruttate da diversi attori, compresi gruppi collegati a campagne ransomware. Una piattaforma di gestione delle stampe può sembrare meno critica di un firewall o di un server di posta, ma un servizio vulnerabile esposto rappresenta comunque una possibile porta d’ingresso nella rete.
È lo stesso principio alla base delle raccomandazioni che abbiamo illustrato nella guida EP Consulting su come prevenire il ransomware e proteggere i dati aziendali e nell’approfondimento su come proteggere il business dagli attacchi informatici: ridurre i servizi esposti, aggiornare rapidamente e monitorare ciò che accade dopo il perimetro.
FAQ sulla vulnerabilità PaperCut
PaperCut è realmente sotto attacco?
Sì. Il produttore ha dichiarato di essere a conoscenza di incidenti confermati presso clienti e ricercatori indipendenti hanno osservato lo sfruttamento in ambienti reali.
Quali sono le vulnerabilità coinvolte?
Le vulnerabilità rese pubbliche sono CVE-2026-81578, relativa al controllo degli accessi, e CVE-2026-82078, relativa al caricamento dinamico non sicuro di classi. Combinate possono consentire esecuzione di codice da remoto senza autenticazione.
Ho già installato la prima patch di emergenza: devo aggiornare ancora?
Sì. PaperCut ha pubblicato una seconda release della patch dopo ulteriori analisi e bypass individuati dai ricercatori. La raccomandazione è installare Emergency Patch Release 2.
Il server PaperCut non è esposto a Internet: sono al sicuro?
Il rischio di attacco diretto dall’esterno si riduce notevolmente, ma l’aggiornamento resta necessario. Un aggressore già presente nella rete interna potrebbe comunque cercare di sfruttare sistemi vulnerabili per aumentare il proprio controllo.
Fonti e aggiornamenti
- PaperCut – Security Vulnerability Log
- BleepingComputer – Second emergency patch for exploited PaperCut flaws
- SecurityWeek – PaperCut zero-day exploited in the wild
Articolo aggiornato al 30 agosto 2026. In presenza di un server PaperCut esposto o di indicatori sospetti, è opportuno intervenire con priorità e documentare le verifiche effettuate.