PaperCut alerta para duas falhas encadeáveis já exploradas em ataques

A CISA adicionou ao catálogo de Vulnerabilidades Conhecidas e Exploradas as falhas CVE-2026-82078 e CVE-2026-81578, que afetam o PaperCut NG/MF. A inclusão oficial em 31 de agosto confirma evidências de exploração e eleva a prioridade de correção para organizações que usam o produto.

A CVE-2026-81578 permite que um atacante remoto sem autenticação altere determinadas configurações do sistema. Encadeada à CVE-2026-82078, uma falha de reflexão insegura, ela pode permitir a execução de bytecode Java presente no caminho de classes com os privilégios do processo do servidor PaperCut.

A CISA definiu 14 de setembro de 2026 como prazo para os órgãos federais abrangidos aplicarem as mitigações do fornecedor. Outras organizações devem inventariar instâncias expostas, seguir o boletim urgente da PaperCut, preservar evidências para triagem forense e descontinuar o uso quando não houver mitigação disponível.