CVE-2026-81578 : contournement d'authentification sur l'interface web de PaperCut NG/MF

HERMES

SCORE DE MENACE HERMES & SURFACE D'ATTAQUE INTERFACE WEB

Cible : Serveur d'application PaperCut NG/MF (Interface web de gestion)

Confiance : 99%

94 / 100

CRITIQUE

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 20 / 20

Activité de menace 20 / 20

Militarisation 20 / 20

Exposition 19 / 20

Prévalence 18 / 20

Impact 18 / 20

Maturité de l'exploit 20 / 20

Potentiel d'attaque en chaîne 20 / 20

⚖️ Divergence & Justification opérationnelle

Le score CVSS v3.1 évalue CVE-2026-81578 à 8.8 (HIGH, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Le score opérationnel Hermes s'élève à 94 (CRITIQUE) en raison de l'exploitation active en essaims d'agents IA et de l'inscription au catalogue CISA KEV.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-81578: PaperCut NG/MF Web Management Authentication BypassVULNÉRABILITÉ

Nœuds connectés : 3

Relations sortantes actives

→ affectsCOMPOSANTPaperCut NG / MF Print Management

99% VERY_HIGH

Enterprise print management and document tracking platform deployed widely across education and corporate networks.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Directly confirmed by PaperCut Security Bulletin and active exploitation in KEV.”

Preuves vérifiées associées :

• [telemetry]GreyNoise Global Observation Grid observed 440+ PaperCut instances exploited in seconds by hundreds of AI agents powered by OpenAI Codex and DeepSeek. — Source : GreyNoise Labs: Agents Gone Wild: An AI-Orchestrated Global Campaign Against PaperCut NG/MF (Fiabilité : VERY_HIGH)

→ affectsCOMPOSANTPaperCut MF/NG

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in PaperCut MF/NG documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Associations entrantes

Agents Gone Wild: AI-Orchestrated Global Campaign Against PaperCut NG/MFCAMPAIGN → exploits → [Cette entité]

99% VERY_HIGH

Alerte CISA KEV : exploitation Active par essaims d'agents IA

CVSS v3.1 : 8.8 HIGH : (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) / CWE-306 : absence d’authentification pour fonction critique. Inscrite au catalogue CISA KEV le 31 août 2026. Faille d’accès initial chaînée dans la campagne IA PaperCut documentée par GreyNoise.

Résumé exécutif

La CVE-2026-81578 affecte PaperCut NG et MF avant les versions 24.1.10, 25.0.13 et 26.0.5. Suite à un défaut de filtrage d’accès sur l’interface web Tapestry, un attaquant distant non authentifié peut émettre des requêtes modifiant la configuration interne du serveur avant l’évaluation des contrôles de session. Chaînée avec la CVE-2026-82078, cette vulnérabilité débouche sur une exécution de code arbitraire avec les privilèges NT AUTHORITY\SYSTEM.

---

1. Contexte technique & matrice logicielle

Paramètre	Spécification technique	Contexte threat intelligence
Identifiant CVE	CVE-2026-81578	Bulletin de sécurité PaperCut & Catalogue CISA KEV
Produit affecté	papercut:papercut_ng_mf	Suite de gestion d’impression d’entreprise
Composant vulnérable	Interface Web de Gestion PaperCut	Filtre d’authentification & Dispatcher de requêtes
Classe de faiblesse	CWE-306: Missing Authentication for Critical Function	Défaut de contrôle d’accès / Contournement d’auth
Score CVSS v3.1	8.8 (HIGH / Score Hermes 94)	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Versions corrigées	24.1.10, 25.0.13, 26.0.5	Emergency Patch Release 3
Techniques MITRE ATT&CK	T1190 - Exploit Public-Facing Application, T1078 - Valid Accounts	Accès initial / Évasion de défenses
Campagne associée	Campagne IA PaperCut	440+ organisations touchées dans le monde

---

2. Décomposition technique & cause racine

Dans le framework Apache Tapestry de PaperCut, les requêtes vers des services directs (service=direct/...) étaient mal assainies. Une requête forgée permettait de contourner l’évaluation de la session administrateur et d’altérer les propriétés persistantes du serveur, notamment les paramètres de connexion à la base de données.

---

3. Scénarios d’attaque & chaînage RCE

1. Reconnaissance : détection de serveurs PaperCut exposés sur les ports 9191 ou 9192.
2. Bypass d’authentification (CVE-2026-81578) : requête POST non authentifiée modifiant les paramètres de driver de base de données.
3. Exécution de code (CVE-2026-82078) : instanciation de classe Java arbitraire sous le compte SYSTEM.
4. Pivoting Active Directory : exploitation de noPac (CVE-2021-42278 / CVE-2021-42287) ou Pass-The-Hash.

---

4. Détection forensique & télémétrie

Consultez server.log pour détecter les requêtes directes suspectes et surveillez les créations de fichiers de test ...\server\custom\web\pcp_*.txt.

---

5. Remédiation & durcissement

1. Mise à niveau immédiate : installez PaperCut 24.1.10, 25.0.13 ou 26.0.5.
2. Cloisonnement réseau : bloquez les ports 9191 et 9192 depuis Internet.
3. Analyse de la menace : consultez notre rapport stratégique sur la campagne IA PaperCut.