Cosa ha appena aggiunto la CISA, e perché era già tardi
La CISA ha aggiunto due vulnerabilità di PaperCut al proprio catalogo Known Exploited Vulnerabilities il 31 agosto 2026, confermando lo sfruttamento attivo nel mondo reale.
| Metrica | CVE-2026-81578 | CVE-2026-82078 |
|---|---|---|
| Punteggio CVSS 4.0 | 8.8 (Alto) | 9.4 (Critico) |
| Tipo di vulnerabilità | Autenticazione mancante per una funzione critica | Reflection non sicura (caricamento dinamico di classi non sicuro) |
| Cosa permette all'attaccante | Accesso non autenticato per modificare la configurazione di sistema | Esecuzione di codice Java arbitrario sul server |
CVE-2026-81578 permette a un attaccante non autenticato di raggiungere l'interfaccia web di gestione di PaperCut e modificare la configurazione di sistema, e CVE-2026-82078 trasforma quell'accesso in esecuzione di codice Java arbitrario sul server.
Entrambe le falle venivano già sfruttate come zero-day prima che PaperCut pubblicasse una correzione, quindi un'organizzazione che applicava le patch secondo il proprio ciclo mensile normale era già compromessa quando la correzione è arrivata.
Come funziona davvero la catena d'attacco
Un attaccante parte da CVE-2026-81578, la falla di autenticazione mancante, per raggiungere l'interfaccia di configurazione del PaperCut Application Server senza credenziali né interazione dell'utente.
Da dentro quell'interfaccia, l'attaccante innesca CVE-2026-82078, un bug di caricamento dinamico di classi non sicuro nelle utility di connessione al database, che carica ed esegue codice Java scelto dall'attaccante.
Il risultato è l'esecuzione di codice remoto completa sul server di stampa, e non serve una password rubata, un'email di phishing né un dipendente che clicca su qualcosa.
Perché una scadenza federale sottostima la vostra esposizione reale
La Binding Operational Directive 26-04 fissa il 14 settembre 2026 come data entro cui le agenzie civili federali statunitensi devono aver completato la correzione di questi due CVE.
Quella scadenza è un artefatto amministrativo degli appalti del governo statunitense; non dice nulla su quando sia iniziato il pericolo per chiunque altro utilizzi lo stesso software.
Lo sfruttamento che conta è iniziato a fine agosto, giorni dopo il bollettino dello stesso PaperCut e settimane prima di qualsiasi scadenza governativa, ed è iniziato allo stesso modo a Francoforte, Rotterdam e Milano come a Washington.
La seconda patch di cui nessuno parla
PaperCut ha rilasciato la sua prima patch di emergenza per NG/MF versioni 25 e 26 il 28 agosto 2026, quattro giorni prima dell'inserimento nel catalogo KEV.
Nel giro di pochi giorni il fornitore ha fatto seguire un Emergency Patch Release 2 per gli stessi rami v25 e v26, aggiungendo un irrobustimento che la prima patch non includeva, più un Release 2 a parte per il ramo più vecchio v24.
Un'organizzazione fermatasi alla prima patch ha chiuso una via d'ingresso lasciando però non applicato l'irrobustimento aggiuntivo di Release 2, e quel divario conta, considerata la rapidità con cui lo stesso fornitore ha dovuto rivedere la propria correzione.
Cosa fare questa settimana
Ogni organizzazione che utilizza PaperCut NG o MF dovrebbe controllare oggi stesso la propria versione installata rispetto al bollettino di sicurezza di PaperCut, non alla prossima finestra di manutenzione programmata.
Confermate che il server sia sulla build irrobustita Release 2 per v25/v26, o sulla build Release 2 per v24, perché la patch iniziale del 28 agosto da sola non è la correzione completa.
Sotto NIS2, molte medie imprese UE portano ormai proprie obbligazioni di dovuta diligenza e notifica degli incidenti, e una violazione ricondotta a una falla non corretta già elencata nel KEV è difficile da difendere in seguito come cura ragionevole. Le autorità nazionali della regione, tra cui l'ACN in Italia, indicano agli operatori di misurare l'urgenza a partire dal bollettino stesso del fornitore.
Servola Journal
Lo facciamo per tutti quelli che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.
Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire cosa sta succedendo a tutti noi non dovrebbe dipendere da chi può permettersi di pagarlo.
Se oggi vi ha dato qualcosa, diteci di continuare. Seguiteci, lasciate un like, oppure scrivete un commento positivo. Li leggiamo tutti, e sono loro a farci andare avanti.
Da leggere ora: Il Ransomware Gunra Sfrutta Falle Fortinet del 2025 | Cancellare l'attaccante cancella anche la logica
