PaperCut Rilis Pembaruan Darurat Kedua untuk Kerentanan Kritis yang Dieksploitasi Aktif
PaperCut resmi merilis pembaruan keamanan darurat kedua (Emergency Patch Release 2) untuk aplikasi manajemen pencetakan PaperCut NG dan PaperCut MF. Langkah cepat ini diambil setelah peneliti keamanan menemukan celah untuk melewati (bypass) perbaikan keamanan tahap awal yang sempat digulirkan sebelumnya.
Kerentanan ini tengah menjadi sasaran eksploitasi aktif dalam serangan zero-day di server pelanggan. Kedua celah yang dilaporkan, yaitu CVE-2026-81578 dan CVE-2026-82078, dapat dirangkai (chained) oleh penyerang tanpa autentikasi untuk menembus hak akses sekaligus mengeksekusi kode berbahaya dari jarak jauh (Remote Code Execution / RCE).
Rincian Celah CVE-2026-81578 dan CVE-2026-82078
Berdasarkan laporan resmi dari PaperCut bersama firma keamanan siber Huntress dan watchTowr, rincian teknis kedua kerentanan tersebut meliputi:
- CVE-2026-81578 (Skor CVSS 8.8): Celah authentication bypass pada antarmuka manajemen web PaperCut NG/MF. Permintaan jarak jauh tanpa kredensial yang mengarah ke fungsi administratif dapat memicu aksi backend sebelum proses validasi hak akses selesai dijalankan.
- CVE-2026-82078 (Skor CVSS 9.4): Celah kritis unsafe dynamic class-loading pada utilitas koneksi basis data. Sistem memuat kelas driver database tanpa validasi daftar izin (allowlist). Jika konfigurasi sistem dimanipulasi, penyerang dapat mengeksekusi Java bytecode arbitrer di bawah konteks hak akses proses server PaperCut.
Peneliti dari Huntress mencatat bahwa penyerang memanfaatkan berkas Java .class berkode heksadesimal di dalam log sebagai jembatan RCE ke sistem operasi target untuk menjalankan perintah sistem (reconnaissance) serta membaca atau menulis berkas secara bebas.
Imbauan Pembaruan ke Release 2 dan Langkah Mitigasi
PaperCut mendesak seluruh administrator untuk segera memasang Emergency Patch Release 2, termasuk bagi pengguna yang sebelumnya telah menerapkan perbaikan darurat pertama. Pembaruan ini mencakup penguatan keamanan tambahan (additional hardening) dan tersedia untuk:
- Versi yang Didukung: PaperCut NG dan MF versi 24, 25, dan 26 pada platform Windows, Linux, dan macOS.
- Pengguna Versi 23 atau Lebih Lama: Diimbau segera melakukan upgrade ke versi rilis terbaru.
- Komponen Infrastruktur: Pembaruan wajib diterapkan pada server utama, Site Servers, serta secondary/print servers. Komponen Print Deploy dan Mobility Print dilaporkan aman dari kerentanan ini.
Selain memperbarui perangkat lunak, administrator disarankan membatasi akses antarmuka web PaperCut hanya untuk alamat IP tepercaya menggunakan firewall atau aturan kontrol akses jaringan (ACL). Pemeriksaan berkala juga perlu dilakukan terhadap aktivitas mencurigakan dari proses pc-app.exe, log server yang terpotong/hilang, serta kemunculan pesan galat berikut pada server.log:
ERROR No suitable driver found for jdbc:no:x
ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST
