PaperCut: parchea ya los fallos de día cero que roban datos

Si administras un servidor PaperCut NG o MF, el software con el que muchas oficinas, colegios y universidades controlan sus impresiones, conviene actualizarlo cuanto antes. Dos vulnerabilidades de día cero se explotaron en ataques reales para ejecutar código y robar datos, y los parches de emergencia iniciales no bastan: la corrección completa son las versiones 26.0.5, 25.0.13 y 24.1.10.

Actualizado el 15 de octubre de 2026. La versión original (1 de septiembre) hablaba de fallos ya parcheados; desde entonces PaperCut publicó versiones de mantenimiento que sustituyen a todos los parches de emergencia.

Cronología del incidente

Fecha (2026)	Qué ocurrió
26 de agosto	Varias empresas de seguridad detectan las primeras explotaciones.
27-28 de agosto	PaperCut publica un aviso urgente y un primer parche de emergencia para las versiones 25 y 26.
28 de agosto	Aparece el parche de emergencia 2 (versiones 24, 25 y 26) después de que investigadores de watchTowr y Huntress encontraran formas de eludir el primero.
29 de agosto	La firma Defused observa en sus señuelos un ataque distinto: robo de datos de la base de datos del servidor.
31 de agosto	La agencia estadounidense CISA añade ambos fallos a su catálogo de vulnerabilidades explotadas.
1 de septiembre	Sale el parche de emergencia 3, que acumula los anteriores y corrige dos regresiones.
Segunda semana de septiembre	PaperCut lanza las versiones de mantenimiento 26.0.5, 25.0.13 y 24.1.10, con pruebas completas, que sustituyen a los parches de emergencia.

Cómo funciona el ataque

Los dos fallos se encadenan:

• CVE-2026-81578 (gravedad 8.8, alta): una omisión de autenticación en la interfaz web de administración.
• CVE-2026-82078 (gravedad 9.4, crítica): una carga dinámica insegura de clases en las utilidades de conexión a la base de datos.

Juntos permiten que un atacante sin cuenta ejecute código en el servidor de aplicaciones. Además, según Defused, un grupo aprovechó la omisión de autenticación para secuestrar la función de búsqueda externa de usuarios y volcar tablas de la base de datos Apache Derby, sin necesidad de ejecutar código.

A quién afecta

• PaperCut NG gestiona la impresión desde el equipo y el servidor en oficinas y escuelas, y PaperCut MF la conecta con impresoras multifunción. Ambos están afectados.
• Las ramas 24, 25 y 26 tienen corrección. Quien use la 23 o anteriores no recibe parche de emergencia y debe migrar a una rama con soporte.
• Shadowserver contaba más de 800 servidores expuestos en Internet el 1 de septiembre, aunque esa cifra incluye servidores ya protegidos y señuelos.
• GreyNoise y Blackpoint Cyber vincularon un actor sospechoso con intrusiones en al menos 395 organizaciones de 48 países, la mayoría del sector educativo de EE. UU., según The Hacker News.

Qué hacer, en este orden

1. Quita la consola de Internet. La primera recomendación de PaperCut es restringir el acceso web del servidor de aplicaciones a direcciones IP de confianza, con cortafuegos, una VPN o una red de gestión aparte.
2. Comprueba tu versión exacta. Según una guía técnica, el número de compilación aparece en la consola de administración, en la sección Acerca de. En la rama 24 instala la 24.1.10, en la 25 la 25.0.13 y en la 26 la 26.0.5. Si solo aplicaste el parche 1 o el 2, no estás completamente protegido.
3. Actualiza todos los servidores. PaperCut indica que los Site Servers y los servidores secundarios o de impresión también deben actualizarse.
4. Busca señales de compromiso. Revisa alertas de tu antivirus o EDR sobre el servidor, sobre todo actividad sospechosa del proceso pc-app.exe, archivos server.log ausentes, truncados o borrados, y entradas del tipo "No suitable driver found for jdbc:no:x".
5. Si hay indicios, trata el servidor como comprometido. Sigue la guía de reconstrucción de PaperCut y evalúa qué datos de usuarios guardaba ese servidor.

Si usas PaperCut en Perú

PaperCut se usa en entornos donde se controla y se cobra la impresión, como oficinas, colegios y universidades. Si eres responsable de TI en una institución o trabajas con un proveedor que instaló PaperCut, pregunta qué versión tiene y si la consola es accesible desde fuera. Conviene hacerlo aunque nadie haya notado nada raro, porque el ataque no avisa al usuario.

Algunas requisitos que se deben tomar en consideración para establecer el servidor es instalar PaperCut Movility Print que es gratuito, y por si quieres tomar el control de las impresiones se debe complementar con PaperCut NG ó PaperCut MF esto aumenta la seguridad por lo que se requiere autentificación es una buena opción.

Si el problema de tu oficina es la impresión de aplicaciones de escritorio y no la seguridad, mira Error al imprimir o exportar PDF en apps WPF: ya hay solución. Y sobre otra orden de parcheo urgente, lee la entrada sobre la orden de CISA de parchear un fallo de Zimbra.

Conclusión

Con PaperCut no basta con "haber parcheado": importa la versión exacta y que la consola no esté abierta a Internet. Si todavía tienes un parche de emergencia, pasa a la versión de mantenimiento correspondiente.

Fuentes: Boletín de seguridad de PaperCut, BleepingComputer, robo de datos (artículo original), BleepingComputer, segundo parche, The Hacker News, versiones de mantenimiento, Arctic Wolf y BetaNews.