PaperCut NG/MF : deux failles exploitées, des correctifs d’urgence à appliquer

Fin août, PaperCut a publié coup sur coup deux correctifs d’urgence pour ses logiciels de gestion des impressions NG et MF, après la découverte de deux failles exploitées par des attaquants. Rien qui justifie la panique, mais une mise à jour à ne pas laisser traîner. Si votre entreprise utilise PaperCut, voici ce qui s’est passé, ce qu’il faut vérifier et comment nous accompagnons nos clients.

Deux failles qui, enchaînées, ouvrent le serveur

Les deux vulnérabilités touchent le serveur d’application de PaperCut NG et MF, celui qui pilote les impressions et héberge la console d’administration :

• CVE-2026-81578 (score CVSS 8,8, gravité élevée) : un contournement de l’authentification de l’interface Web d’administration, qui permet à un attaquant non authentifié d’agir sur la configuration du serveur ;
• CVE-2026-82078 (score CVSS 9,4, critique) : un chargement dynamique de classes non sécurisé dans les utilitaires de connexion aux bases de données, qui permet d’exécuter du code Java arbitraire.

Prise isolément, chacune est sérieuse. Enchaînées, elles permettent à un attaquant d’exécuter du code à distance sur le serveur, sans le moindre identifiant. Les 26 et 27 août, la société de sécurité Huntress a observé leur exploitation chez deux de ses clients, apparemment à des fins de reconnaissance. L’éditeur évoque des attaques limitées et ciblées. Fin août, l’agence américaine de cybersécurité (CISA) a ajouté ces deux failles à son catalogue des vulnérabilités activement exploitées.

Pourquoi une telle attention ? Un serveur PaperCut est relié à l’annuaire des utilisateurs, aux files d’impression et aux copieurs de l’entreprise : c’est une porte d’entrée intéressante pour un attaquant. En 2023, une précédente faille de PaperCut (CVE-2023-27350) avait d’ailleurs été largement exploitée, notamment par des groupes spécialisés dans les rançongiciels.

Un premier correctif, puis un second

PaperCut a publié un bulletin de sécurité urgent daté du 27 août, accompagné d’un premier correctif d’urgence. Des chercheurs ont rapidement montré que ce premier correctif pouvait être contourné. Le vendredi 28 août, l’éditeur a donc publié l’Emergency Patch Release 2, qui renforce les protections, et demande à tous ses clients de l’installer, même s’ils avaient déjà appliqué le premier, comme le rapporte BleepingComputer. En résumé :

• Les versions 24, 25 et 26 de NG et MF, sous Windows, Linux et macOS, doivent recevoir l’Emergency Patch Release 2 ;
• Les Site Servers et les serveurs d’impression secondaires doivent eux aussi être mis à jour ;
• Les versions 23 et antérieures ne reçoivent pas de correctif : la seule voie est une montée de version ;
• Print Deploy et Mobility Print ne sont pas concernés.

Ce troisième point n’a rien d’anecdotique. Selon Huntress, citée par IT-Connect, 47 % des quelque 2 500 installations PaperCut qu’elle suit fonctionnaient en version 23 ou antérieure. Le Centre canadien pour la cybersécurité a, lui aussi, publié un avis invitant les administrateurs à appliquer les mises à jour.

Les bons réflexes, au-delà du correctif

Ces failles se corrigent. Mais l’épisode rappelle quelques principes valables pour tout serveur de l’entreprise :

• Un serveur d’impression se met à jour comme le reste : il mérite le même suivi que vos postes, vos serveurs et votre pare-feu ;
• La console d’administration n’a pas à être exposée sur Internet : même une fois le correctif appliqué, il est recommandé d’en limiter l’accès à des adresses de confiance ;
• Les comptes administrateurs se limitent au strict nécessaire, avec des mots de passe robustes, et leur liste se revoit régulièrement ;
• Les versions anciennes se planifient : une montée de version se prépare (compatibilité des copieurs, des pilotes et des postes), et mieux vaut l’anticiper que la subir ;
• Les journaux se surveillent : parmi les signes à rechercher figurent un fichier server.log absent ou tronqué et des erreurs inhabituelles liées aux pilotes de base de données.

Vous ne savez pas quelle version de PaperCut tourne chez vous ? La console d’administration l’indique. Notez-la, ainsi que la liste de vos serveurs d’impression : c’est le point de départ de toute mise à jour.

Un serveur PaperCut tenu à jour, sans que vous ayez à y penser

L’épisode le montre : la sécurité d’un serveur d’impression dépend d’abord de mises à jour appliquées sans attendre. Avec notre offre de gestion des flux d’impression, PaperCut MF se déploie de deux façons, et dans les deux cas nous nous en chargeons :

• Hébergé par Easylia : PaperCut fonctionne en mode SaaS sur nos serveurs en France ; rien à installer ni à maintenir chez vous, et les mises à jour sont assurées par nos soins ;
• Installé chez vous : nous vous fournissons la licence PaperCut, installons la solution sur votre infrastructure et en assurons la maintenance.

Associé à notre Pack Sérénité, votre serveur d’impression est suivi comme le reste de votre système d’information :

• La maintenance de vos postes, serveurs et équipements réseau, mises à jour comprises ;
• La supervision proactive de vos équipements, pour détecter un problème avant qu’il ne devienne une panne ;
• Un pare-feu qui bloque les connexions indésirables et sécurise les accès à distance ;
• L’intervention en cas de cyberattaque, jusqu’à la restauration de vos données depuis la dernière sauvegarde.

Une question sur votre installation, ou un doute sur un comportement inhabituel de votre serveur d’impression ? Ouvrez une demande sur notre portail d’assistance, ou parlons-en : l’équipe fait le point avec vous.