PaperCut: el servidor d'impressió corre com a SYSTEM, i gairebé la meitat del parc mesurat no té pedaç

Tot edifici té una porta principal amb recepció, i una porta de servei per on entren les caixes i surt la brossa. La primera té càmera, registre de visites i algú mirant. La segona està oberta mig matí perquè és el més còmode. En una xarxa corporativa, la porta de servei sol ser el servidor d'impressió: no és a la llista de sistemes crítics, no el va tocar ningú en dos anys i funciona. Aquesta setmana ha estat, un cop més, per on han entrat.

El 27 d'agost, PaperCut va publicar un avís urgent per a tots els clients de PaperCut NG i PaperCut MF: estava investigant explotació activa i hi havia incidents de clients confirmats. L'endemà van arribar els identificadors. CVE-2026-81578, control d'accés indegut a la interfície web de gestió, CVSS 8.8. CVE-2026-82078, càrrega dinàmica de classes insegura a les utilitats de connexió a base de dades, CVSS 9.4. Encadenats, donen execució remota de codi sense autenticar dins del procés de l'Application Server.

Fins aquí, la notícia que ja has llegit en altres llocs i que acaba sempre igual: pedaça ja. Nosaltres volem aturar-nos en dues coses que a les cobertures apareixen de passada i que, per a una empresa normal, són les que de debò decideixen el desenllaç. Una és amb quin compte corre aquest servei. L'altra és que gairebé la meitat de les instal·lacions que algú ha pogut comptar no té cap pedaç per aplicar.

Tres dies, explicats en ordre

La cronologia importa perquè marca qui anava per davant, i convé llegir-la amb els rellotges posats: PaperCut és una empresa de Melbourne i data les seves actualitzacions en hora australiana. Huntress va observar l'activitat d'explotació en entorns de clients els dies 26 i 27 d'agost. El 27 es va publicar el butlletí. El primer pedaç d'emergència va sortir a les 02:10 AEST del 28, que aquí són les sis i deu de la tarda del dijous 27, i només cobria les branques 25 i 26. El divendres 28 es van assignar els dos CVE. És a dir: la fallada s'estava fent servir abans que existís l'avís, que és la definició de dia zero i no una manera dramàtica d'explicar-ho.

L'escala, en canvi, és més modesta del que suggereix el soroll: Huntress parla d'activitat limitada en dos entorns de clients, i descriu un dels incidents com una cosa que va durar menys de dos minuts en total. Aquesta xifra no és la durada d'un atac contra una empresa; és la durada de la part que es veu. Hi ha un altre detall al butlletí que es llegeix ràpid i diu molt: PaperCut explica que va poder reproduir la fallada gràcies a la informació que li van passar l'equip de seguretat i els forenses d'un client universitari. Qui va trobar això no va ser un escàner: va ser algú mirant el seu propi incident.

La paraula que canvia la mida del problema: SYSTEM

La cadena, tal com la descriu Huntress, té dos passos i cap no és exòtic. Primer, una petició construïda de manera que referencia una pàgina per renderitzar-la mentre executa accions d'una altra: amb això se salta la comprovació d'autorització de la interfície de gestió. Segon, s'aprofiten les utilitats de connexió a base de dades per carregar bytecode Java arbitrari. La primera fallada obre la porta i la segona hi fica el codi.

El que es va fer després és rutina de manual: comandes de descobriment codificades en base64 —whoami & ver, i després whoami & ver & tasklist—, fitxers .class dipositats al servidor, la sortida bolcada a un fitxer, i esborrat de registres i de payloads en acabar. El detall que a nosaltres ens va fer aixecar la vista no és en aquelles intrusions, sinó a la prova de concepte que Huntress va refer al seu laboratori: des d'una màquina remota van aconseguir llançar un procés observable, charmap.exe, penjant de pc-app.exe i corrent com a SYSTEM. El que un atacant executi allà dins s'executa amb aquest nivell.

El 47 %: per a gairebé la meitat, «pedaça ja» no vol dir res

Huntress va publicar de passada la xifra que ordena tota la resta. Té visibilitat sobre unes 2.500 instal·lacions de PaperCut i diu que el 47 % d'elles va per la versió 23 o anterior. És la seva telemetria, no un cens mundial, però és l'únic número real que hi ha sobre la taula. Per a aquesta branca no hi ha pedaç, i el fabricant ho diu sense embuts a la seva FAQ: «el camí recomanat per a tots els clients anteriors a PaperCut NG/MF v24 és actualitzar a l'última versió».

Aquesta frase, dita un divendres amb explotació activa, descriu un projecte i no una tasca. Aplicar un pedaç d'emergència és una finestra de manteniment curta i un reinici del servei. Saltar de versió major en un sistema d'impressió corporatiu és una altra cosa: revisar compatibilitat dels controladors, la integració amb el directori, les targetes dels usuaris, les aplicacions incrustades de cada marca de multifunció, i una prova abans de tocar producció. La feina que li toca al 47 % no cap en una tarda de divendres. I la part incòmoda és que aquesta feina no ha aparegut ara: feia anys que no es feia, i el que ha canviat és que avui té data límit.

És la nostra lectura, i la marquem com a lectura: aquest 47 % no és negligència, és el que passa quan un servidor no té amo clar. El d'impressió sol quedar en terra de ningú entre qui administra els sistemes i qui gestiona el contracte de les fotocopiadores. No és que algú decidís no actualitzar-lo; és que no apareixia en cap llista on aparegués aquesta decisió. El mateix que explicàvem sobre l'agent de gestió remota que instal·la el teu proveïdor: el programari que arriba per un canal diferent del d'IT hereta el cicle de vida de ningú.

El pedaç de dijous no valia divendres

A les 20:42 AEST del 28 —migdia del divendres aquí— PaperCut va publicar una segona tanda de pedaços d'emergència, Emergency Patch Release 2, després de treballar amb el seu equip intern i amb investigadors de Huntress i watchTowr que havien trobat diverses maneres de saltar-se els pedaços originals, a més d'una fallada addicional de salt d'autenticació. La branca 24, que s'havia quedat fora del primer pedaç, no va tenir el seu fins a una hora i mitja més tard. El fabricant ho diu sense adorns: instal·la la Release 2 encara que ja hagis aplicat el pedaç original. Qui va pedaçar a consciència dijous a la tarda, divendres continuava exposat.

Això no és un retret al fabricant: treure dues rondes en menys d'un dia, amb investigadors externs a sobre, és fer-ho bé. És un retret a com ens organitzem la resta. Un pedaç no és un esdeveniment, és un estat. Si el teu procés consisteix a aplicar el pedaç i tancar el tiquet, la finestra d'exposició de la teva empresa la marca el dia que hi vas passar, no l'estat real del programari. El criteri que defensem és el contrari: un pedaç no està tancat fins que algú torna a comprovar la versió instal·lada contra l'avís tal com és avui, no com era quan el vas llegir.

I hi ha un corol·lari pràctic: si el pedaç es pot saltar, la mitigació de xarxa és la que aguanta les dues vegades. Convé subratllar qui ho diu, perquè no és una ocurrència nostra: el mateix PaperCut col·loca això en una secció titulada Immediate action required, per davant de la del pedaç, i amb una frase que no admet lectura tèbia: «fes això ara, encara que no hagis observat activitat sospitosa». Restringir l'accés web del servidor a adreces de confiança —els rangs interns— amb regles de tallafocs o controls d'accés a xarxa. Rapid7 diu el mateix i Huntress hi afegeix la VPN i una pregunta que hauries de respondre per escrit: revisa per què una interfície de gestió de PaperCut és accessible des d'internet. Quan arriba un avís així, primer es tanca l'accés i després es pedaça.

Això ja va passar el 2023, i amb el mateix producte

L'11 de maig de 2023, CISA i l'FBI van publicar un avís conjunt titulat, literalment, Malicious Actors Exploit CVE-2023-27350 in PaperCut MF and NG. Aquella fallada era execució remota de codi sense credencials, CVSS 9.8. L'FBI va observar explotació des de mitjans d'abril i, a principis de maig, un grup que es feia dir Bl00dy Ransomware Gang l'estava fent servir contra el subsector d'instal·lacions educatives. La frase que tanca el cercle és al mateix avís: van entrar en xarxes on els servidors PaperCut vulnerables estaven exposats a internet. Algunes d'aquelles operacions van acabar en exfiltració i xifratge.

Tres anys després, diferent CVE, diferent cadena, mateix producte i —aquesta és la part que fa mal— mateix prerequisit. El que no ha canviat en tres anys no és el programari. És que aquest servidor continua sense tenir ningú que es llevi un dimarts pensant-hi.

Què mirar aquesta tarda, en aquest ordre

Si tens PaperCut NG o MF, això és una tarda i no cal cap projecte:

• S'hi arriba des de fora? És la primera pregunta i l'única que pots contestar sense tocar el servidor. Si la interfície de gestió respon des d'internet, tanca-la ara mateix als rangs interns o a la VPN. Això val tant si has pedaçat com si no, i hauria valgut també el 2023.
• Quina versió exacta tens? No «l'última que vam instal·lar», el número. Si és 24, 25 o 26, hi ha pedaç d'emergència i ha de ser el de la segona tanda. Compte aquí, perquè és fàcil equivocar-se: els números de compilació que circulen per a la branca 25 en Windows —25.0.12.76497 (NG) i 25.0.12.76496 (MF)— són els del primer pedaç, no els de la Release 2. Per a la segona tanda, PaperCut no publica número de compilació, només el SHA256 de cada instal·lador al mateix butlletí: verifica contra aquest hash i no contra un número de versió. Si vas per la 23 o anterior, no hi ha pedaç: et toca planificar el salt de versió, i mentrestant el punt anterior és el teu únic control real.
• I la resta de servidors? No n'hi ha prou amb l'Application Server principal. PaperCut diu que els Site Servers i els servidors secundaris o d'impressió també cal portar-los a una versió pedaçada. En canvi, Print Deploy i Mobility Print no estan afectats i no cal tocar-los; sobre aquest últim el fabricant és explícit fins i tot amb els ports: Mobility Print corre sobre una arquitectura separada i no està impactat, així que en pots deixar els ports oberts. Saber què NO cal tocar estalvia tant de temps com saber què sí.
• Amb quin compte corre el servei? Mira-ho als serveis de Windows, no ho suposis. Si és SYSTEM, ja saps quant val una fallada d'execució de codi allà dins. Baixar privilegis en un servidor d'impressió no sempre és trivial, però almenys que sigui una decisió presa i no una casella que va venir marcada de l'instal·lador.
• Busca les petjades abans de reiniciar res. Els indicadors que ha publicat Huntress són molt concrets: la cadena DB URL: jdbc:derby:memory:pwn al server.log; entrades amb noms de base de dades irregulars a /data/internal/derby.log; fitxers .class inesperats al directori server/lib/; un server.log absent o truncat; els errors No suitable driver found for jdbc:no:x i DatabaseUtils - Database error looking up cardID: VALUES CAST; i qualsevol shell o utilitat de descobriment llançada com a filla de pc-app.exe. I aquí un avís que avui no és a cap cobertura: aquest mateix matí, PaperCut ha obert al seu butlletí una nota sobre problemes posteriors al pedaç en la cerca de número de targeta/ID contra base de dades externa i en SAML. Traduït: aquest últim error et pot aparèixer per haver pedaçat, no per haver estat atacat. Si fas servir cerca de targeta contra una base de dades externa —el fabricant diu que és una funció poc usada—, cal afegir security.card-number-lookup.enabled=Y a server/security.properties i reiniciar l'Application Server; sense aquesta clau, PaperCut ignora en silenci les consultes externes encara que la interfície continuï mostrant la funció com a configurada.
• Aquest servidor el veu el teu EDR? Un antivirus de signatures no marca charmap.exe: és un binari legítim de Windows. El que delata la intrusió és la relació —un procés fill estrany penjant del servei d'impressió— i això ho veu una eina que mira comportament i llinatge de processos. I compte a donar-ho per fet: l'agent no sempre és on creus, com vam explicar quan algú va apagar un EDR amb un reinici en mode segur.
• Qui n'és l'amo? Escriu un nom al costat d'aquest servidor. No un departament: un nom. És l'única de les sis coses d'aquesta llista que continuarà servint d'aquí a tres anys, quan surti el pròxim avís.

Quan això no va amb tu

Si no fas servir PaperCut, aquesta notícia concreta no et toca i no farem veure el contrari per allargar el post. I si el fas servir, i ets en una branca amb pedaç, i la seva interfície de gestió no ha vist mai internet, tens una estona de feina i poca cosa més: aplica la segona tanda, revisa els indicadors i continua amb el teu dia. Tampoc no et direm que corris a comprar res: en aquest incident, el control que més ha valgut —restringir l'accés a la consola— no costa diners, costa mitja hora d'algú amb permisos al tallafocs.

I hi ha una cosa que no et podem prometre, ni nosaltres ni ningú: que haguessis pedaçat a temps. L'explotació es va veure el 26; l'avís va sortir el 27; el pedaç bo, el 28. Contra aquesta finestra no hi ha procés de pedaçat que guanyi. El que sí que decideix el desenllaç és tota la resta: si la consola era a internet, si el servei corria com a SYSTEM, si algú mira els registres d'aquest servidor i si hi ha una eina que s'hagués fixat en un procés fill estrany a les tres de la matinada. I si la resposta a tot això és dolenta, la sortida que recomana el mateix fabricant no és agradable però és l'honesta: assegurar les còpies actuals, arrasar i reconstruir l'Application Server i restaurar una còpia neta anterior a qualsevol comportament sospitós. Fixa't en el que hi ha sota d'aquesta frase: cal tenir còpies, saber de quin dia és cadascuna i poder dir a partir de quan van deixar de ser fiables.

La porta de servei també és una porta

En la nostra feina diària, la diferència entre les cases on això es resol en una tarda i les cases on es converteix en una setmana dolenta no és el pressupost ni el fabricant del tallafocs. És si existeix un inventari on aquest servidor té una fila, una versió escrita i un nom al costat. Això és, sense adorns, el que fem a manteniment informàtic: no «pedaçar», sinó sostenir l'estat d'un parc complet, inclosos els servidors que no vam instal·lar nosaltres i els que ningú no classificaria com a crítics.

L'altra meitat és acceptar que hi haurà dies en què el pedaç arribi tard, perquè en aquest cas va arribar tard per a tothom. Aquí la pregunta ja no és «estava pedaçat?», sinó «quant temps va estar algú a dins abans que ens n'adonéssim?». Aquesta la contesta una vigilància que mira comportament i llinatge de processos: EDR i MDR gestionat. I el conjunt —què exposem, amb quins privilegis i qui ho mira— és del que parlem quan parlem de ciberseguretat: un munt de decisions petites preses abans que facin falta.

D'aquí a tres anys hi haurà un altre avís urgent, i no serà de PaperCut. Serà d'una altra andròmina discreta que fa anys que funciona sense donar guerra, instal·lada per algú que ja no treballa aquí, corrent amb més privilegis dels que necessita. L'única cosa que serveix contra aquest futur és avorrida i no es ven: que aquella andròmina tingui una fila en una llista, amb una versió al costat i un nom al darrere.

Fonts (verificades una a una, consultades el 29 d'agost de 2026): la cadena d'explotació pas a pas, l'activitat observada els dies 26 i 27 d'agost, les comandes whoami & ver i whoami & ver & tasklist, els fitxers .class, la prova de concepte en què charmap.exe s'executa com a SYSTEM sota pc-app.exe (és el seu laboratori, no una intrusió observada: ho assenyalem perquè en diverses cobertures es barreja), la llista d'indicadors de compromís, les compilacions 25.0.12.76497 (NG) i 25.0.12.76496 (MF) —que són les del primer pedaç—, la dada que el 47 % de les aproximadament 2.500 instal·lacions de PaperCut que Huntress segueix van per la v23 o anterior, l'incident de menys de dos minuts en total i la recomanació de la VPN — Huntress, «PaperCut Actively Exploited: A Pre-Auth RCE Chain». La secció Immediate action required i el seu «fes-ho ara encara que no hagis vist res estrany», la cronologia completa amb hores AEST, l'Emergency Patch Release 2 i els SHA256 dels instal·ladors, la FAQ sobre la v23 i anteriors, la clau security.card-number-lookup.enabled=Y, l'avís del 29 d'agost sobre errors posteriors al pedaç en Card/ID i SAML, l'abast als Site Servers i servidors secundaris, que Mobility Print no està afectat, la recomanació de reconstruir el servidor i restaurar còpia neta si se sospita compromís, i que la informació va venir de l'equip de seguretat i els forenses d'un client universitari — butlletí de seguretat de PaperCut. Els identificadors CVE-2026-81578 (CVSS 8.8) i CVE-2026-82078 (CVSS 9.4) i la citació sobre restringir l'accés web a adreces de confiança — Rapid7, anàlisi del dia zero. Els bypasses dels pedaços originals trobats per watchTowr i Huntress i la fallada addicional de salt d'autenticació — BleepingComputer, 28 d'agost de 2026. El precedent del 2023, l'explotació des de mitjans d'abril, la Bl00dy Ransomware Gang contra el subsector educatiu i els servidors exposats a internet — avís conjunt CISA/FBI AA23-131A, 11 de maig de 2023. Són nostres, i les marquem com a criteri i no com a fets publicats: la lectura del 47 % com a problema de propietat del servidor i no de negligència, la idea que un pedaç és un estat i no un esdeveniment, i les sis comprovacions de la llista. L'ordre «tancar l'accés abans que pedaçar» no és nostre: és de PaperCut, que el va posar primer al seu butlletí.