Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Hacker criminali stanno sfruttando due vulnerabilità zero-day in PaperCut NG e MF, rilevate dagli sviluppatori di PaperCut. Le vulnerabilità, CVE-2026-81578 e CVE-2026-82078, permettono di bypassare l'autenticazione e eseguire codice arbitrario. Gli attacchi sono stati rilevati da un'università non identificata e confermati da esperti di sicurezza.
Gli sviluppatori di PaperCut hanno segnalato che gli hacker stanno attivamente sfruttando due vulnerabilità zero-day in PaperCut NG e MF. Insieme, questi problemi permettono di bypassare l’autenticazione e di eseguire codice arbitrario su un server vulnerabile. L’azienda ha già preparato due aggiornamenti di emergenza, poiché il primo patch urgente si è rivelato incompleto.
Le informazioni sugli attacchi sono emerse alla fine della scorsa settimana, dopo che il team di sicurezza informatica di un’università non identificata ha trasmesso agli sviluppatori di PaperCut i dati sulla compromissione della propria infrastruttura.
Gli esperti dell’azienda hanno riprodotto il problema utilizzato per l’attacco all’istituto scolastico e hanno avvertito che esso riguarda tutte le versioni di PaperCut NG e MF. Tuttavia, l’azienda non ha pubblicato alcuna dettaglio tecnico sulla vulnerabilità per dare ai clienti il tempo di chiudere l’accesso ai server.
È emerso presto che si tratta di due bug. Il primo, CVE-2026-81578 (8,8 punti sulla scala CVSS), consiste in un bypass dell’autenticazione nell’interfaccia web di PaperCut ed è legato a un controllo degli accessi non corretto. Gli sviluppatori spiegano che, in presenza di alcune condizioni, una richiesta non autenticata può portare all’esecuzione di azioni amministrative sul backend prima del completamento della verifica dei permessi.
La seconda vulnerabilità, CVE-2026-82078 (9,4 punti sulla scala CVSS), è legata al caricamento non sicuro di classi dinamiche nel meccanismo di connessione ai database. Secondo gli esperti, la radice del problema risiede nel fatto che PaperCut carica le classi dei driver, i cui nomi sono specificati nella configurazione, ma non le verifica contro un elenco di quelle consentite. Di conseguenza, se un attaccante ha la possibilità di modificare la configurazione, può anche eseguire codice Java arbitrario con i privilegi del processo PaperCut.
Secondo i dati degli analisti di sicurezza delle aziende watchTowr e Huntress, gli hacker combinano queste vulnerabilità, bypassando prima l’autenticazione e poi modificando la configurazione per ottenere l’esecuzione di codice arbitrario.
I ricercatori di Huntress sottolineano di aver già osservato lo sfruttamento delle vulnerabilità zero-day in due ambienti client e di essere riusciti a riprodurre l’intera catena di attacco fino all’esecuzione del codice senza autenticazione.
Secondo gli esperti, attualmente gli hacker stanno principalmente utilizzando CVE-2026-81578 e CVE-2026-82078 per condurre ricognizioni. In particolare, nei log sono state rilevate le comandi whoami, ver e tasklist, che permettono di determinare l’account, la versione del sistema operativo e i processi in esecuzione. Inoltre, gli attaccanti hanno utilizzato un file .class con codice Java bytecode che fungeva da ponte tra PaperCut e il sistema operativo, permettendo di eseguire comandi, leggere e scrivere file.
Al momento, i ricercatori non hanno rilevato segni di installazione di malware o tentativi di consolidamento nel sistema, e gli obiettivi finali degli attaccanti sono sconosciuti.
Il primo patch di emergenza, rilasciato dagli sviluppatori di PaperCut il 28 agosto 2026, non è riuscito a risolvere completamente il problema. Gli esperti di watchTowr e Huntress hanno riferito di aver trovato diversi modi per aggirarlo e di aver scoperto un ulteriore metodo di bypass dell’autenticazione.
Successivamente, gli sviluppatori hanno rilasciato una seconda correzione urgente e hanno invitato tutti i clienti a installarla il prima possibile, anche se avevano già applicato il primo fix.
Gli sviluppatori di PaperCut raccomandano vivamente di rimuovere l’interfaccia web Application Server dall’accesso pubblico e di consentire le connessioni solo da indirizzi IP fidati, tramite VPN o altro canale controllato.
Tra i segni di compromissione, i ricercatori elencano l’attività sospetta del processo pc-app.exe, il file server.log mancante o troncato, nonché gli errori «No suitable driver found for jdbc:no:x» e «Database error looking up cardID: VALUES CAST» nei log.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/