PaperCut Software, 28 Ağustos akşamı PaperCut NG ve MF için Emergency Patch Release 2’yi yayımladı. İlk acil yama 28 Ağustos 02.10 AEST’te v25 ve v26’ya gelmişti. Huntress ve watchTowr ilk yamada birden fazla aşım ve ek kimlik doğrulama baypası bulunca şirket ikinci paketi v24, v25 ve v26 için çıkardı. İlk yamayı kuran müşterilere de Release 2’yi istiyor. 30 Ağustos 10.34 AEST bülteni hâlâ resmi sürüm olmadığını, mühendisliğin çalıştığını yazıyor.
CVE’ler artık kamu: CVE-2026-81578, yönetim arayüzünde kimlik doğrulamasız yapılandırma değişikliği, CVSS 4.0 8.8. CVE-2026-82078, veritabanı sürücüsünde güvensiz dinamik sınıf yükleme, 9.4. Huntress ikisinin zincirlenince Application Server’da kimlik doğrulamasız kod çalıştırdığını yazıyor. Şirket bu turda grup adı vermiyor; saldırıların sınırlı ve hedefli göründüğünü, sömürü sonrası ayrıntıyı müşteri müdahalesini bozmamak için sakladığını söylüyor.
Huntress 26 ve 27 Ağustos’ta iki müşteri ortamında sömürü gördü. Gözlenen, whoami, ver ve tasklist keşfi; Udydn.class ile komut, ardından server.log silme. İkinci örnek v24.1.5.71847, Release 2 çıkmadan vurulmuş. Huntress’in izlediği yaklaşık 2.500 kurulumun yüzde 47’si v23 ve öncesi; bunlar için yama yok, şirket en son sürüme çıkılmasını istiyor. 2023’teki CVE-2023-27350 dalgasındaki Cl0p ve LockBit bu bültenin faili değil.
Teyit edilen: 27 Ağustos bülteni, 28 Ağustos Release 2, iki CVE, Huntress’in iki ortamı ve laboratuvar zinciri. Teyit edilmeyen: saldırganın kimliği ve fidye yükü. Web arayüzü internete açıksa yamadan bağımsız güvenilir IP’ye kısıtlanmalı. Site Server ve ikincil yazıcı sunucuları da yamalı sürüme çekilecek; Print Deploy ve Mobility Print etkilenmiyor.
Kaynaklar
Sık sorulan sorular
İlk yama yeterli mi?
Hayır. PaperCut, Huntress ve watchTowr’un ilk yamadaki aşımlarından sonra Release 2’yi istiyor. v24, v25 ve v26 için indiriliyor.
CVE numaraları nedir?
CVE-2026-81578 kimlik doğrulamasız yapılandırma (8.8). CVE-2026-82078 güvensiz sınıf yükleme (9.4). Huntress zincirin ön-kimlik RCE verdiğini yazıyor.
Sahada kullanılıyor mu?
Evet. Şirket müşteri olaylarını doğruladı. Huntress iki ortamda keşif komutları gördü. Fail grubu adı yok.
v23 ve öncesi ne olacak?
PaperCut yama çıkarmıyor, en son sürüme yükseltmeyi istiyor. Huntress izlediği yaklaşık 2.500 kurulumun yüzde 47’sinin bu dilimde olduğunu yazıyor.
