Skip to content
Hacker Posts

PaperCut corrige deux RCE dans NG/MF (CERT-FR AVI-1377)

PaperCut corrige quatre failles dans NG/MF et Hive, dont deux RCE (CVE-2026-14780 CVSS 7.5, CVE-2026-82077 CVSS 7.3). Le CERT-FR relaie l'avis AVI-1377. Aucune exploitation connue à ce jour.

Publié le 2 min de lecture
cvepapercutalerterce

PaperCut a corrigé quatre vulnérabilités dans ses solutions d'impression, dont deux permettant l'exécution de code à distance. Le CERT-FR a relayé le correctif dans l'avis CERTFR-2026-AVI-1377 le 23 octobre. Le détail par CVE est dans le bulletin de sécurité de l'éditeur. PaperCut NG/MF est très déployé en entreprise et en collectivité : la priorité va aux deux RCE.

Produits et versions affectés

Selon le CERT-FR, sont concernés :

  • PaperCut NG/MF 26.0.x antérieures à 26.0.5
  • PaperCut NG/MF 25.x antérieures à 25.0.13
  • PaperCut NG/MF 24.x antérieures à 24.1.11
  • PaperCut Hive antérieures à 2.3.0

Ce que font les failles

D'après le bulletin PaperCut (scores CVSS 4.0 de l'éditeur) :

  • CVE-2026-14780 — RCE via le sous-système de scripting (CWE-94), CVSS 7.5. Touche NG/MF quand le Print and Device Scripting est activé.
  • CVE-2026-82077 — RCE via Scan2Fax (path traversal CWE-22 + injection de commandes OS CWE-78), CVSS 7.3. Touche NG/MF.
  • CVE-2026-87739 — contournement d'autorisation à la génération de rapports (CWE-639), CVSS 6.9. Touche NG/MF.
  • CVE-2026-11744 — XSS dans l'application embarquée Ricoh (CWE-79), CVSS 3.8. Touche Hive.

PaperCut déclare n'avoir « aucune preuve » que l'une de ces failles ait été exploitée.

Que faire

  1. Mettez à jour NG/MF vers 26.0.5, 25.0.13 ou 24.1.11 selon votre branche ; Hive vers 2.3.0. PaperCut recommande 26.0.5 pour couvrir l'ensemble des correctifs sur la branche 26.
  2. Priorisez les serveurs exposés et ceux dont l'interface d'administration est atteignable au-delà du réseau d'impression.
  3. Si le scripting Print/Device est activé, c'est le vecteur de CVE-2026-14780 : restreignez l'accès à l'administration en attendant le correctif.
  4. Pas d'IoC publié : à défaut de signature, revoyez les journaux d'accès à l'interface d'admin et les tâches de scripting inhabituelles.

Contexte

PaperCut traîne un historique lourd : la CVE-2023-27350 (NG/MF) a été massivement exploitée en 2023, y compris par des opérateurs de rançongiciel, et reste un classique des catalogues d'exploitation. Rien n'indique d'exploitation ici, mais le profil « serveur d'impression central, souvent exposé, rarement patché vite » est exactement celui que les attaquants reviennent chercher. Nous avions déjà couvert un précédent avis PaperCut ce trimestre — traiter l'impression comme une surface d'attaque, pas comme un consommable.

Articles liés