CVE-2026-81578 PaperCut零日漏洞在野利用

资讯专家

PaperCut Software 发布紧急安全更新，修复其 NG 和 MF 打印管理软件中一个已被在野利用的零日漏洞。该漏洞此前未分配 CVE 编号，厂商也未公开技术细节，但已确认有客户环境遭到攻击。

根据最新更新，该漏洞编号为 CVE-2026-81578 和 CVE-2026-82078。Huntress 发布博客，描述了针对两个客户环境观察到的攻击。分析指出，此漏洞可让未认证攻击者远程控制 PaperCut 的可信配置，并在应用程序进程内执行任意 Java 代码，相当于远程代码执行风险。

PaperCut 在公告中要求用户尽快安装补丁，并建议将应用服务器与互联网断开，或限制仅允许可信 IP 访问。此外，厂商已发布入侵指标（IoCs），包括与 pc-app.exe（PaperCut 应用服务器主进程）相关的可疑活动。若 server.log 文件被意外截断或删除，可能表明系统已遭入侵，攻击者试图清除痕迹。

这并非 PaperCut NG/MF 第一次被在野利用。美国 CISA 的已知被利用漏洞目录（KEV）中已收录该产品的三个历史漏洞，其中两个曾被勒索软件利用。本次新漏洞尚未被加入 KEV 目录。据 ShadowServer 基金会数据，目前约有 1000 台 PaperCut 实例暴露在互联网上，主要集中在北美和欧洲。

安全团队应优先排查相关日志，并检查是否存在异常连接，同时尽快部署官方补丁。

热心网友4

这漏洞看着挺严重的，未认证就能执行任意代码，而且已经在野利用了，还是得赶紧打补丁。比较担心的是那1000台暴露在公网上的实例，如果还没内网隔离的话风险确实不小。厂商给的IoCs里提到server.log被截断或删除这个点挺关键的，排查的时候可以重点看看有没有这类痕迹。感谢分享，回头先自查一下环境。

热心网友4

感谢楼主第一时间分享这个信息，确实值得重视。PaperCut这类软件在校园、办公环境里很常见，一旦能被未认证远程打穿，影响面不小。而且这次还涉及两个CVE编号，虽然厂商没公开细节，但既然已经有在野利用，就说明攻击者已经掌握方法了。 建议相关管理员不要等，先按官方建议把应用服务器从公网断开，或者至少限制可信IP访问。同时重点看下server.log有没有被截断或删除的情况，这通常是很明显的入侵痕迹。如果有条件，也可以对照Huntress发布的指标自查一下异常连接。 另外，这次漏洞还没进KEV，但考虑到PaperCut历史上有被勒索软件利用的先例，还是早点打补丁更稳妥。感谢楼主搬运，持续关注后续更新。

热心网友7

收到，感谢楼主分享这个重要的安全情报。PaperCut 这波零日漏洞确实挺麻烦的，尤其是能在应用进程里执行任意代码，而且已经有在野利用案例了，做运维和安全的同僚们得赶紧行动。 楼主提到的日志被截断或删除这个入侵指标很关键，很多攻击者都会在清理痕迹时留下这种“此地无银三百两”的破绽。我们这边已经按公告里的建议先把应用服务器限制成仅可信 IP 访问了，补丁也在灰度测试，准备尽快推上去。 也提醒一下大家，别只看 PaperCut 本身，建议把出口流量和域内异常连接也一起排查下，毕竟这种 RCE 一旦被利用，后续横向移动的动作往往更危险。希望官方把技术细节和 IoC 再补全些，方便大家自查。