Lo que la CISA acaba de añadir, y por qué ya era tarde
La CISA añadió dos vulnerabilidades de PaperCut a su catálogo Known Exploited Vulnerabilities el 31 de agosto de 2026, confirmando explotación activa en el mundo real.
| Métrica | CVE-2026-81578 | CVE-2026-82078 |
|---|---|---|
| Puntuación CVSS 4.0 | 8.8 (Alta) | 9.4 (Crítica) |
| Tipo de vulnerabilidad | Autenticación ausente en una función crítica | Reflexión insegura (carga dinámica de clases insegura) |
| Qué permite al atacante | Acceso no autenticado para cambiar la configuración del sistema | Ejecución de código Java arbitrario en el servidor |
CVE-2026-81578 permite a un atacante no autenticado alcanzar la interfaz web de administración de PaperCut y cambiar la configuración del sistema, y CVE-2026-82078 convierte ese acceso en ejecución de código Java arbitrario en el servidor.
Ambos fallos ya se explotaban como zero-day antes de que PaperCut publicara ningún parche, de modo que una organización que parcheaba en su ciclo mensual habitual ya estaba comprometida cuando el parche llegó.
Cómo funciona realmente la cadena de ataque
Un atacante empieza con CVE-2026-81578, el fallo de autenticación ausente, para alcanzar la interfaz de configuración del PaperCut Application Server sin credenciales ni interacción del usuario.
Desde dentro de esa interfaz, el atacante dispara CVE-2026-82078, un fallo de carga dinámica de clases insegura en las utilidades de conexión a base de datos, que carga y ejecuta código Java elegido por el atacante.
El resultado es ejecución remota de código completa en el servidor de impresión, y no hace falta ninguna contraseña robada, ningún correo de phishing ni ningún empleado haciendo clic en nada.
Por qué un plazo federal subestima su exposición real
La Binding Operational Directive 26-04 fija el 14 de septiembre de 2026 como la fecha en que las agencias civiles federales de EE.UU. deben terminar de remediar estos dos CVE.
Ese plazo es un artefacto administrativo de la contratación del gobierno de EE.UU.; no dice nada sobre cuándo empezó el peligro para cualquier otra organización que use el mismo software.
La explotación que importa empezó a finales de agosto, días después del propio boletín de PaperCut y semanas antes de cualquier fecha límite gubernamental, y empezó igual en Fráncfort, Róterdam y Milán que en Washington.
El segundo parche del que nadie habla
PaperCut publicó su primer parche de emergencia para NG/MF versiones 25 y 26 el 28 de agosto de 2026, cuatro días antes de entrar en el catálogo KEV.
Días después, el proveedor publicó un Emergency Patch Release 2 para las mismas ramas v25 y v26, que añadía un endurecimiento que el primer parche no incluía, más un Release 2 propio para la rama más antigua v24.
Una organización que se quedó en el primer parche cerró una vía de entrada pero dejó sin aplicar el endurecimiento adicional de Release 2, y esa brecha importa dada la rapidez con que el propio proveedor tuvo que revisar su propio parche.
Qué hacer esta semana
Toda organización que use PaperCut NG o MF debería comprobar hoy mismo su versión instalada contra el boletín de seguridad de PaperCut, no en la próxima ventana de mantenimiento programada.
Confirme que el servidor está en el build endurecido de Release 2 para v25/v26, o en el build Release 2 para v24, porque el parche inicial del 28 de agosto por sí solo no es el arreglo completo.
Bajo NIS2, muchas empresas medianas de la UE ya cargan con sus propias obligaciones de diligencia debida y notificación de incidentes, y una brecha rastreada hasta un fallo sin parchear ya listado en el KEV es difícil de defender después como cuidado razonable. Autoridades nacionales de la región, entre ellas el INCIBE en España, indican a los operadores que midan la urgencia a partir del propio boletín del proveedor.
Leer a continuación: Cisco ISE: un 10 perfecto, sin solución | La mayoría de los servidores Artifactory siguen expuestos
