PaperCut remplace ses correctifs d’urgence par une release durcie après 395 organisations compromises
Le 10 septembre 2026, PaperCut publie les versions 26.0.5, 25.0.13 et 24.1.10 de NG/MF, qui remplacent trois correctifs d’urgence et colmatent deux failles activement exploitées, CVE-2026-81578 et CVE-2026-82078. Si vous tournez encore sur un correctif d’urgence, basculez immédiatement vers la maintenance release.
10 septembre 2026. PaperCut publie une maintenance release qui remplace trois correctifs d’urgence et colmate deux failles déjà exploitées dans la nature. Les versions 26.0.5, 25.0.13 et 24.1.10 de PaperCut NG/MF ont traversé le processus complet de QA. Pourquoi c’est important : GreyNoise et Blackpoint Cyber documentent un acteur russophone qui a déjà compromis 395 organisations dans 48 pays, avec une concentration sur le secteur éducatif américain.
Deux CVE exploitées pour contourner l’authentification et exécuter du code
Les deux vulnérabilités, CVE-2026-81578 et CVE-2026-82078, sont exploitées en chaîne pour contourner l’authentification puis exécuter du code arbitraire sur les instances vulnérables.
Le chaînage est ce qui rend la paire dangereuse prise isolément. Une faille de contournement d’authentification seule ouvre une porte dérobée mais ne donne pas encore les clés du système ; une faille d’exécution de code seule exige d’être déjà authentifié. Combinées, la première fabrique l’accès et la seconde le transforme en prise de contrôle du serveur d’impression, sans prérequis d’identifiants valides. C’est le scénario exact que documente GreyNoise sur le terrain, et celui que les trois correctifs d’urgence successifs ont tenté de fermer au fil de l’eau. PaperCut les avait initialement traitées par trois correctifs d’urgence successifs — Emergency Patch Releases 1, 2 et 3 — qui corrigeaient aussi deux régressions et ajoutaient des mesures de durcissement contre les chaînes d’attaque potentielles.
La maintenance release publiée cette semaine est d’une nature différente. Là où les correctifs d’urgence sont poussés sans passer par la validation complète, les versions 26.0.5, 25.0.13 et 24.1.10 ont suivi le cycle standard de tests. Elles embarquent l’ensemble des correctifs de sécurité des trois patches d’urgence, plus un durcissement supplémentaire.
Pour un produit déployé dans les écoles, les universités et les PME, la différence compte : un correctif d’urgence se contente de boucher le trou, une maintenance release restaure la confiance dans la chaîne de mise à jour.
Ce n’est pas la première fois que PaperCut se retrouve au centre d’une exploitation à grande échelle. En 2023, la faille CVE-2023-27350 — un contournement d’authentification dans le même produit — avait été exploitée en masse par des rançongiciels quelques semaines seulement après la publication du correctif, ciblant à nouveau les écoles et les universités. L’histoire se répète avec un détail nouveau : la cadence d’exploitation, mesurée en jours, n’a fait que raccourcir.
Un acteur russophone, 395 organisations, des centaines d’agents IA
GreyNoise et Blackpoint Cyber décrivent un acteur soupçonné d’être russophone qui a militarisé les deux failles pour pénétrer 395 organisations réparties dans 48 pays, principalement dans le secteur éducatif américain.
La méthode d’exécution est le signal le plus inquiétant. Les attaques ont mobilisé des centaines d’agents IA, propulsés par le harnais Codex d’OpenAI et un modèle DeepSeek, pour cibler les organisations à l’échelle tout en évitant les entités situées en Russie, en Chine, à Hong Kong, en Thaïlande, en Iran et dans 23 autres pays. L’activité provient de l’adresse IP 45.142.193[.]132.
La question ouverte, posée par GreyNoise, est de savoir si cet acteur se concentre uniquement sur le développement d’accès destinés à être revendus à d’autres groupes, ou s’il exploitera directement ces accès pour du vol de données ou un déploiement de rançongiciel. Dans les deux scénarios, l’organisation déjà compromise reste la victime.
L’usage d’agents IA change la nature de la menace. Là où une campagne de cette ampleur exigeait autrefois une équipe d’opérateurs humains pour énumérer les cibles, tester les accès et éviter les entités à écarter, l’automatisation réduit le coût marginal de chaque victime. Pour un défenseur, cela signifie que l’écart entre la publication d’un correctif et son exploitation à l’échelle se mesure désormais en heures, pas en semaines.
Ce que doit faire l’équipe en charge de l’impression
L’exposition d’une instance PaperCut n’est pas un sujet de niche. PaperCut NG/MF gère les files d’impression, les quotas et la facturation de dizaines de millions d’utilisateurs, souvent dans des établissements où l’infrastructure réseau est historiquement plate et peu segmentée. Une exécution de code sur le serveur d’impression ouvre la porte au reste du réseau.
Le secteur éducatif concentre le risque pour une raison structurelle : les serveurs d’impression y sont souvent gérés par le service informatique d’un établissement, avec des fenêtres de maintenance rares, des budgets de sécurité limités et une forte saisonnalité. Entre les vacances scolaires et la rentrée, un correctif peut attendre des semaines — précisément ce que l’automatisation des attaquants exploite désormais.
- Identifiez votre version — vérifiez si vous tournez en 26.x, 25.x ou 24.x et comparez aux versions corrigées ;
- Basculez vers la maintenance release — les correctifs d’urgence ne sont plus la référence, les releases 26.0.5, 25.0.13 et 24.1.10 les remplacent et ajoutent du durcissement ;
- Ne restez pas sur un correctif d’urgence — il comble la faille mais n’intègre pas les protections supplémentaires validées en QA ;
- Traquez l’IP et les IOC — l’indicateur
45.142.193[.]132et les chaînes d’attaque documentées par GreyNoise et Blackpoint doivent rejoindre vos règles de détection ; - Segmentez le serveur d’impression — une instance PaperCut n’a pas besoin de joindre l’ensemble du réseau, limitez sa surface avant la prochaine faille.
Côté détection, concentrez-vous sur deux signaux : les tentatives d’authentification anormales sur la console d’administration, et les connexions sortantes du serveur d’impression vers des adresses inconnues. Le chaînage des deux failles se manifeste rarement par une explosion de trafic, mais par une élévation discrète de privilèges suivie d’un mouvement latéral. Les journaux d’authentification PaperCut et les flux réseau de l’hôte restent vos meilleurs témoins.
Verdict
PaperCut ne communique pas sur le nombre total d’instances exposées, mais la combinaison d’une exploitation active confirmée et d’un secteur éducatif massivement visé suffit à classer cette mise à jour en priorité. Le point de bascule n’est pas technique, il est de gouvernance : les équipes qui appliquaient les correctifs d’urgence au fil de l’eau doivent maintenant faire la bascule vers la release stabilisée.
Si vous gérez une instance PaperCut NG/MF, passez à 26.0.5, 25.0.13 ou 24.1.10 dès aujourd’hui, puis vérifiez dans vos journaux la présence de l’IP 45.142.193[.]132 avant de considérer la machine comme saine.
Si vous êtes dans l’éducation ou une PME sans équipe sécurité dédiée, le vrai risque n’est pas cette faille-ci mais la suivante : segmentez le serveur d’impression et automatisez ses mises à jour, car un produit aussi central ne doit plus dépendre d’une intervention manuelle.