De acordo com o alerta de segurança publicado pela PaperCut, atacantes estão a explorar ativamente vulnerabilidades recentemente corrigidas nas soluções PaperCut NG e MF. O cenário obrigou a empresa australiana a lançar uma segunda correção de emergência com medidas adicionais de proteção.
Cadeia de vulnerabilidades permite contornar a autenticação
Investigadores da empresa de cibersegurança Huntress revelaram que a falha concede a um utilizador não autenticado o controlo remoto sobre a configuração confiável do servidor. Este acesso pode ser utilizado para executar código Java arbitrário no interior do processo da aplicação.
O problema central reside em duas vulnerabilidades distintas. A primeira, identificada como CVE-2026-81578 e com uma pontuação CVSS de 8,8, consiste num controlo de acessos inadequado na interface de gestão web, que permite contornar a autenticação sob condições específicas. A segunda, CVE-2026-82078 (CVSS de 9,4), afeta os utilitários de ligação à base de dados, instanciando classes sem validação adequada numa lista de permissões.
Segundo os especialistas da watchTowr, a exploração baseia-se na conjugação de ambas. O ataque começa por usar a primeira falha para ultrapassar o login e alterar um ficheiro de configuração, o que abre as portas à exploração da segunda falha para atingir a execução remota de código.
Execução de comandos e recolha de dados
A atividade pós-exploração observada nos ambientes afetados inclui a execução de comandos codificados em Base64. Os piratas informáticos instalam um ficheiro Java (".class") capaz de operar tanto em sistemas Windows como em Linux. O objetivo inicial passa por recolher informações da máquina e obter uma lista dos diretórios armazenados, gravando os dados num ficheiro denominado "Udydn.out".
Numa das ocorrências registadas a 27 de agosto de 2026, foi detetada uma versão alterada do ficheiro que captura também a lista de processos em execução, usando o comando "whoami & ver & tasklist". Após a recolha, os atacantes apagam os ficheiros de registo do servidor ("server.log" e "derby.log") e o próprio "Udydn.out" para ocultar as suas ações.
As organizações que utilizam o PaperCut NG e MF devem remover imediatamente qualquer exposição destes serviços à internet pública e aplicar as correções disponíveis. É recomendado que o acesso web ao servidor seja restrito a endereços IP de confiança ou colocado atrás de uma ligação VPN.
Nenhum comentário
Seja o primeiro!