CISA inclui duas falhas do PaperCut no catálogo de vulnerabilidades exploradas em ataques
As brechas em PaperCut NG e MF foram usadas antes de existir correção, e o fabricante publicou dois patches de emergência em 28 de agosto
Servidor de impressão não costuma estar no topo da lista de preocupações de uma equipe de segurança. É um sistema de bastidor, que quase ninguém olha, e que costuma ficar em uma rede interna com acesso a muita coisa. É exatamente esse perfil que o torna um alvo interessante.
Na semana passada, duas falhas em um software de gestão de impressão usado por universidades, hospitais, escolas e empresas foram divulgadas depois de já estarem sendo exploradas. Na segunda-feira, a agência de cibersegurança dos Estados Unidos as colocou na lista das vulnerabilidades que exigem correção imediata.
Apuração · o que é verificável
O que aconteceu
Em 27 de agosto de 2026, a PaperCut Software publicou um boletim de segurança urgente sobre duas vulnerabilidades em seus produtos PaperCut NG e PaperCut MF, softwares de gestão e contabilização de impressão. As falhas receberam os identificadores CVE-2026-81578 e CVE-2026-82078.
A CVE-2026-81578 é uma falha de controle de acesso indevido na interface web de administração dos dois produtos. Ela permite que um atacante remoto e não autenticado altere determinadas configurações do sistema, e foi classificada com nota 8,8 na escala CVSS, considerada de alta gravidade.
A CVE-2026-82078 é a mais grave das duas, com nota 9,4 na escala CVSS, faixa considerada crítica. Ela decorre de carregamento dinâmico inseguro de classes nos utilitários de conexão com banco de dados dos dois produtos e, segundo a descrição publicada, abre caminho para execução de código Java arbitrário no servidor afetado. Encadeadas, as duas permitem que um atacante sem credenciais chegue à execução remota de código.
O fabricante liberou uma primeira correção de emergência em 28 de agosto de 2026, para as versões 25 e 26, e no mesmo dia publicou uma segunda correção, que estendeu o reforço à versão 24. Em seu comunicado, a PaperCut afirmou estar ciente de incidentes confirmados em clientes e tratar o assunto com a mais alta prioridade.
A empresa de segurança Huntress relatou ter observado exploração em ambientes de dois clientes, com as primeiras tentativas identificadas em 26 de agosto de 2026, ou seja, antes da divulgação pública. A atividade posterior à invasão incluiu reconhecimento do sistema e execução de comandos codificados em base64 no servidor alvo.
Em 31 de agosto de 2026, a Cybersecurity and Infrastructure Security Agency dos Estados Unidos acrescentou as duas CVEs ao seu catálogo de vulnerabilidades exploradas conhecidas, com base em evidência de exploração ativa. A inclusão nesse catálogo obriga órgãos federais civis norte-americanos a corrigir dentro do prazo fixado pela agência, e funciona para o restante do mercado como sinal de prioridade, não como obrigação legal.
Registre-se a situação de correção, porque é o dado mais importante para quem administra esses sistemas: existe correção disponível, publicada pelo fabricante em 28 de agosto de 2026, e ela deve ser obtida diretamente no boletim oficial da PaperCut, que informa as versões corrigidas de cada linha do produto.
Contexto
O termo zero-day descreve uma falha que passa a ser explorada antes de existir correção disponível. É o que aconteceu aqui: a exploração foi identificada em 26 de agosto e a primeira correção saiu em 28. Nesse intervalo, quem usava o produto não tinha como se proteger aplicando atualização, apenas restringindo acesso.
A necessidade de uma segunda correção no mesmo dia merece registro, e não é incomum. Quando uma falha é corrigida sob pressão, é frequente que a primeira versão do reparo cubra o caminho de exploração observado sem eliminar a causa subjacente. Publicar um reforço adicional em seguida é o comportamento correto do fornecedor, ainda que gere trabalho dobrado para quem administra o sistema.
Sobre o catálogo da CISA, vale entender o que ele é. Não é uma lista de todas as vulnerabilidades graves: é a lista das que a agência tem evidência de estarem sendo exploradas em ataques reais. Uma falha com nota alta que ninguém explorou não entra; uma falha antiga e de nota moderada que voltou a ser usada entra. É por isso que a inclusão é um sinal de urgência operacional mais forte do que a própria nota CVSS.
Softwares de gestão de impressão são um alvo recorrente por três razões que se somam: costumam rodar com privilégios elevados, integram-se a diretórios de identidade corporativa e raramente entram no ciclo prioritário de atualização, porque parar a impressão de uma organização inteira é visto como incômodo maior do que o risco. A combinação de acesso amplo com manutenção adiada é o que os torna atraentes.
Por decisão editorial, esta matéria não descreve como as falhas são exploradas. Existe correção disponível, e a informação útil aqui é a de que ela precisa ser aplicada, não a de como o ataque funciona.
Interpretação editorial da sysINFO
Análise sysINFO
A leitura da sysINFO é que o intervalo entre a primeira exploração e a primeira correção, dois dias neste caso, é curto para os padrões do setor e é uma boa notícia dentro de uma notícia ruim. O problema não está aí: está no tempo que se passa entre a publicação da correção e a aplicação dela em cada organização, que costuma ser medido em semanas ou meses quando o sistema afetado é considerado periférico.
O contraponto honesto é que o volume observado de exploração, até aqui, é pequeno. Dois ambientes de clientes de uma empresa de segurança não descrevem uma campanha em massa, e é possível que o número real seja maior sem que ninguém tenha percebido, como é possível que seja mesmo pequeno. Tratar um caso confirmado como epidemia é tão errado quanto ignorá-lo, e a distinção importa para quem precisa priorizar recursos limitados.
Registramos que esta seção é interpretação editorial da sysINFO, não relato de fato. Verificáveis são as datas do boletim, das correções e da inclusão no catálogo da CISA, os identificadores e as notas CVSS das duas falhas, a descrição técnica de cada uma e o relato da Huntress sobre exploração observada. A avaliação sobre o tempo de aplicação de correções e sobre a escala do ataque é leitura nossa.
Recorte brasileiro
Impacto para o Brasil
O PaperCut é usado no Brasil sobretudo em universidades, redes de ensino, órgãos públicos e empresas de médio e grande porte, justamente o perfil de organização com muitos usuários e cotas de impressão a controlar. Não existe estatística pública de instalações no país, mas o perfil de adoção sugere presença relevante no setor educacional e no setor público.
A obrigação de correção fixada pela CISA vale para órgãos federais dos Estados Unidos e não alcança nenhuma organização brasileira. Ainda assim, o catálogo é usado por muitas equipes de segurança no Brasil como fila de prioridade, porque é uma lista curta, curada e baseada em evidência de exploração, e não em suposição de risco.
Para organizações brasileiras sujeitas à LGPD, há um ângulo adicional. Uma falha que permite execução remota de código em servidor com acesso a diretório corporativo é, na prática, um risco de acesso indevido a dados pessoais. Se houver comprometimento, a avaliação de comunicação à ANPD e aos titulares entra em cena, e a existência de correção publicada desde 28 de agosto tende a pesar na análise de diligência da organização.
Agenda de acompanhamento
O que observar agora
A janela mais crítica é a das próximas semanas, quando organizações que ainda não atualizaram continuam expostas. Estes são os pontos que a sysINFO vai acompanhar, sempre em fontes oficiais.
- Se surgirão novos relatos de exploração e se a escala observada até aqui vai aumentar.
- Se será necessária uma terceira correção, o que indicaria que a causa raiz não foi eliminada.
- Se o CERT.br emitirá alerta próprio sobre as falhas para o público brasileiro.
- Se grupos de ransomware passarão a incorporar essas falhas ao seu repertório, como já ocorreu com falhas anteriores do mesmo produto.
- Se a PaperCut publicará uma análise pós-incidente explicando a origem das duas vulnerabilidades.
Fontes consultadas
-
PaperCut
PaperCut NG/MF Security Bulletin (27 Aug 2026) - Urgent Security Advisory
-
CISA
-
CISA
-
SecurityWeek
-
Help Net Security
PaperCut NG/MF vulnerabilities exploited in zero-day attacks
Como esta matéria foi produzida. Conteúdo elaborado pela Redação sysINFO com apoio de inteligência artificial, a partir das fontes relacionadas nesta página. As análises representam uma interpretação editorial automatizada dos acontecimentos. Leia a política de utilização de inteligência artificial e a política de correções.
