Zero-Day PaperCut yang Baru Ditambal Kini Dieksploitasi untuk Mencuri Data

Dua kerentanan keamanan pada software manajemen printer PaperCut NG dan MF yang baru saja ditambal setelah sebelumnya dieksploitasi sebagai zero-day kini kembali disalahgunakan dalam serangan untuk mencuri data.

Kedua celah tersebut dilacak sebagai CVE-2026-81578 dan CVE-2026-82078. Jika dirangkai, keduanya dapat digunakan untuk melewati autentikasi dan memperoleh remote code execution (RCE) pada server PaperCut NG dan MF yang rentan.

PaperCut digunakan secara luas, dengan sekitar 100 juta pengguna di lebih dari 70.000 organisasi, termasuk perusahaan besar, lembaga pemerintahan, dan institusi pendidikan.

Dua Celah Bisa Dirangkai untuk Mengambil Alih Server

CVE-2026-81578 dan CVE-2026-82078 pertama kali menjadi perhatian setelah diketahui telah dieksploitasi sebagai zero-day sebelum tersedia patch resmi.

PaperCut kemudian merilis serangkaian emergency patch untuk mengatasi masalah tersebut.

Kedua kerentanan dapat dirangkai sehingga penyerang dapat melewati mekanisme autentikasi pada server yang rentan dan kemudian memperoleh kemampuan menjalankan kode dari jarak jauh.

Risikonya sangat tinggi terutama bagi PaperCut Application Server yang dapat diakses langsung dari internet.

PaperCut Rilis Tiga Emergency Patch

PaperCut Software merilis tiga emergency patch secara bertahap pada Kamis, Jumat, dan Selasa.

Rilis pertama difokuskan sebagai mitigasi darurat bagi pelanggan yang membutuhkan perlindungan secepat mungkin. Setelah memahami karakteristik serangan dengan lebih baik, PaperCut kemudian menambahkan hardening tambahan pada rilis berikutnya.

Perusahaan menyatakan masih melakukan pekerjaan tambahan terhadap kerentanan tersebut dan tidak menutup kemungkinan menerbitkan emergency patch berikutnya jika diperlukan.

PaperCut juga sedang menyiapkan rilis resmi yang telah melalui proses quality assurance dan regression testing secara menyeluruh.

Perusahaan secara khusus merekomendasikan seluruh pelanggan yang memiliki internet-facing Application Server untuk memasang Emergency Patch Release 3 sesegera mungkin, termasuk mereka yang sebelumnya sudah memasang emergency release terdahulu.

Penyerang Kini Fokus Mencuri Data

Ancaman terbaru bukan hanya berasal dari kemampuan menjalankan kode di server.

Perusahaan threat intelligence Defused menemukan bahwa pelaku telah mulai mengeksploitasi kedua kerentanan tersebut di dunia nyata untuk melakukan data theft.

Aktivitas eksploitasi terdeteksi pada honeypot mulai 29 Agustus 2026.

Dalam serangan yang diamati, pelaku memanfaatkan authentication bypass untuk mengambil alih fungsi external user-lookup pada PaperCut.

Menariknya, pelaku tidak mengikuti jalur RCE yang telah dibahas dalam analisis teknis sebelumnya. Sebaliknya, mereka menggunakan akses tersebut untuk mencuri data dari database PaperCut.

Data tersebut diambil dengan melakukan dumping terhadap tabel database Apache Derby yang digunakan oleh PaperCut.

Strategi ini menunjukkan bahwa authentication bypass saja sudah dapat memberikan nilai besar bagi penyerang, bahkan tanpa harus menjalankan payload RCE.

Lebih dari 800 Server PaperCut Masih Terekspos

Pemantauan internet menunjukkan masih terdapat lebih dari 800 server PaperCut MF dan NG yang dapat diakses secara online.

Jumlah tersebut tidak secara otomatis berarti seluruh server tersebut rentan. Data yang tersedia juga tidak menunjukkan berapa banyak di antaranya yang merupakan honeypot atau sudah diamankan menggunakan emergency patch terbaru.

Namun, keberadaan ratusan server PaperCut yang terekspos internet memberikan peluang bagi threat actor untuk menemukan target yang belum diperbarui.

Administrator yang mengelola PaperCut Application Server yang dapat diakses dari internet sebaiknya memprioritaskan pemasangan Emergency Patch Release 3 dan melakukan pemeriksaan terhadap kemungkinan aktivitas mencurigakan.

PaperCut Sudah Lama Menjadi Target Kelompok Hacker

PaperCut bukan pertama kalinya menjadi sasaran kelompok cybercrime maupun threat actor yang didukung negara.

Pada 2023, dua kerentanan PaperCut lainnya, yaitu CVE-2023-27350 dan CVE-2023-27351, dieksploitasi secara aktif.

CVE-2023-27350 merupakan kerentanan remote code execution kritis, sedangkan CVE-2023-27351 berkaitan dengan information disclosure.

Kedua celah tersebut dirangkai dalam serangan yang dikaitkan dengan kelompok ransomware LockBit dan Clop.

Tidak lama kemudian, kelompok hacking Iran yang didukung negara, termasuk MuddyWater dan APT35, juga diketahui ikut mengeksploitasi kerentanan PaperCut tersebut.

Fitur Print Archiving Pernah Disalahgunakan

Dalam kampanye sebelumnya, kelompok threat actor memanfaatkan fitur Print Archiving pada PaperCut.

Fitur tersebut dirancang untuk menyimpan dokumen yang dikirim melalui server pencetakan PaperCut. Karena itu, ketika server berhasil dikompromikan, data yang tersimpan melalui fitur tersebut dapat menjadi target berharga bagi penyerang.

Pada Mei 2023, FBI dan CISA juga memperingatkan bahwa kelompok Bl00dy Ransomware mulai mengeksploitasi CVE-2023-27350 untuk memperoleh akses awal ke jaringan target.

Kemudian pada Juli 2025, CISA memasukkan kerentanan remote code execution lain pada PaperCut, CVE-2023-2533, ke dalam daftar kerentanan yang diketahui telah dieksploitasi.

Riwayat tersebut memperlihatkan bahwa server PaperCut memiliki daya tarik tinggi bagi pelaku karena posisinya dalam jaringan organisasi sekaligus aksesnya terhadap berbagai informasi terkait aktivitas pencetakan.

Administrator Perlu Periksa Indikasi Kompromi

PaperCut telah menyediakan indicators of compromise (IoC) untuk membantu administrator mendeteksi aktivitas serangan yang sedang berlangsung.

Selain melakukan patch, organisasi sebaiknya tidak menganggap sistem otomatis aman hanya karena pembaruan telah dipasang. Jika server sebelumnya terekspos saat masih rentan, pemeriksaan terhadap log dan aktivitas database tetap diperlukan.

Hal ini penting karena update tidak menghapus jejak atau perubahan yang mungkin telah dibuat penyerang sebelum patch diterapkan.

Dengan eksploitasi CVE-2026-81578 dan CVE-2026-82078 yang kini digunakan untuk pencurian data, organisasi yang menjalankan PaperCut NG atau MF perlu menganggap server yang belum diperbarui sebagai target berisiko tinggi.

Sumber: PaperCut Software