Dos vulnerabilidades críticas de día cero en los sistemas de gestión de impresión PaperCut NG y PaperCut MF: CVE-2026-81578 (omisión de autenticación, CVSS 8.8) y CVE-2026-82078 (ejecución remota de código, CVSS 9.4), están siendo explotadas activamente en una campaña a gran escala. Según Blackpoint Cyber y GreyNoise, un presunto atacante de habla rusa empleó cientos de agentes de IA para automatizar todo el ciclo del ataque —desde el desarrollo de exploits hasta la propia compromisión—, afectando al menos a 440 instancias de PaperCut en 395 organizaciones de 48 países. Ambas vulnerabilidades fueron incluidas en el catálogo CISA KEV el 31 de agosto de 2026, con fecha límite de remediación el 14 de septiembre. Anteriormente ya habíamos escrito sobre estas vulnerabilidades en el contexto del robo de credenciales; ahora el panorama de amenazas se ha ampliado de forma significativa.
Esencia técnica de las vulnerabilidades
La cadena de ataque combina dos defectos que, por separado, representan una amenaza seria pero acotada, y que en conjunto permiten la ejecución remota de código previa a la autenticación.
CVE-2026-81578 es un error de control de acceso en la interfaz web de PaperCut. Según Huntress, en determinadas condiciones una petición no autenticada puede desembocar en la ejecución de acciones administrativas en el servidor antes de completar la comprobación de permisos. Esto permite al atacante modificar la configuración del sistema sin ningún tipo de autorización.
CVE-2026-82078 es una carga dinámica insegura de clases en el mecanismo de conexión a bases de datos. PaperCut carga clases de controladores cuyos nombres se especifican en la configuración, pero no las valida frente a una lista de permitidas. Si el atacante ya ha obtenido la capacidad de cambiar la configuración (a través de la primera vulnerabilidad), puede ejecutar bytecode Java arbitrario con los privilegios del proceso de PaperCut.
Huntress confirmó la reproducción completa de la cadena: la ejecución de código previa a la autenticación llevaba al lanzamiento del proceso charmap.exe con privilegios SYSTEM en el contexto del proceso pc-app.exe, el proceso de servidor PaperCut Application Server.
Alcance de la campaña y papel de la IA
Según los informes de Blackpoint Cyber y GreyNoise, la actividad se origina desde la dirección IP 45.142.193[.]132, que GreyNoise lleva rastreando desde principios de julio de 2026 en relación con el escaneo de sistemas Palo Alto, Ubiquiti, Citrix, SonicWall y Proxmox VE.
La característica clave de la campaña es el uso de cientos de agentes de IA, basados en OpenAI Codex y el modelo DeepSeek, en combinación con herramientas ofensivas conocidas: Mimikatz, SharpHound, Certipy, Rubeus e Impacket. Según GreyNoise, el atacante pasó de un espacio de trabajo en blanco al primer caso de ejecución remota de código en una víctima real en menos de cuatro horas. Tras iniciar la fase masiva de la campaña, 11 organizaciones fueron comprometidas en 26 segundos. En uno de los casos —el ataque contra una escuela en EE. UU.— transcurrieron solo siete minutos desde el acceso inicial hasta la obtención de privilegios de administrador de dominio.
De acuerdo con Blackpoint Cyber, la IA se utilizó no solo para generar exploits, sino también para construir toda la cadena operativa: investigación de vulnerabilidades, comparación de compilaciones parcheadas y sin parchear, creación de una herramienta de validación multihilo, filtrado de objetivos por geolocalización y país, análisis de errores y repetición de intentos. El sistema mantenía el contexto del proyecto durante todo el ciclo de vida, desde la investigación hasta la explotación. Para ello se emplearon dos herramientas de código abierto: Hindsight (servicio de memoria persistente para agentes de IA) y AionUi (entorno gráfico para la ejecución paralela de agentes).
Según GreyNoise, el atacante intentó explícitamente excluir de la campaña a organizaciones de 28 países, entre ellos Rusia, China, Hong Kong, Irán y otros, aunque este filtrado no funcionó en todos los casos. El impacto principal recayó en el sector educativo de EE. UU., Reino Unido, Francia, España, Canadá y varios países europeos.
Actividad postexplotación observada
Huntress registró explotación en dos entornos de clientes. En ambos casos, la actividad se limitó al reconocimiento: se ejecutaron los comandos whoami, ver y tasklist para determinar la cuenta utilizada, la versión del sistema operativo y los procesos en ejecución. No se detectó malware secundario, canales de control adicionales ni mecanismos de persistencia en estos entornos.
En la campaña más amplia descrita por GreyNoise, la actividad postexplotación incluyó la recopilación de datos del registro de Windows, cargas útiles Java de Metasploit/Meterpreter y comandos para descubrir hosts, usuarios y datos de configuración. El acceso con privilegios de administrador de dominio solo se obtuvo en 12 organizaciones de 395. Los objetivos finales del atacante siguen sin estar claros: GreyNoise señala que se desconoce si actúa como broker de acceso inicial o si planea llevar a cabo por sí mismo el robo de datos o el despliegue de ransomware.
Indicadores de compromiso y detección
Según Huntress, para identificar una posible compromisión debe prestarse atención a la siguiente combinación de indicios:
- Actividad sospechosa del proceso
pc-app.exeo de procesos hijo generados por él - Archivo
server.logausente o truncado (la carga útil lo eliminaba tras su ejecución) - Archivos
.classinesperados en el directorioserver/lib - Archivos
.cmdo.outen el directorioserver/data/content - Errores «No suitable driver found for jdbc:no:x» y «Database error looking up cardID: VALUES CAST» en los registros
Es precisamente la combinación de estos artefactos —y no cada uno por separado— la que constituye un indicador fiable. La presencia de actividad del proceso pc-app.exe junto con la desaparición de server.log y archivos de clases atípicos acota la búsqueda de manera mucho más precisa que comprobar únicamente si PaperCut es accesible desde internet.
IOC: dirección IP 45.142.193[.]132 (VirusTotal).
Recomendaciones de remediación
PaperCut ha publicado actualizaciones de seguridad completas que sustituyen a todos los parches de emergencia previamente difundidos (el primero de los cuales resultó incompleto y permitía su omisión):
- PaperCut NG/MF 26.0.5
- PaperCut NG/MF 25.0.13
- PaperCut NG/MF 24.1.10
Estas versiones incluyen todas las correcciones de los parches de emergencia 1, 2 y 3, así como medidas adicionales de refuerzo de la seguridad. Las organizaciones que hayan instalado los parches de emergencia deben migrar a la versión de mantenimiento correspondiente. Según Huntress, en el momento del informe inicial, el 27 de agosto, el 47 % de las instalaciones de PaperCut que seguía registrando funcionaban con la versión 23 o anteriores, para las cuales no había parche disponible. A los usuarios de estas versiones se les recomienda actualizar a un lanzamiento actual.
Además de actualizar, PaperCut recomienda encarecidamente retirar la interfaz web de Application Server del acceso público y permitir conexiones solo desde direcciones IP de confianza, a través de VPN u otro canal controlado. También deben actualizarse Site Server y los servidores de impresión adicionales. Los componentes Print Deploy y Mobility Print no se ven afectados por las vulnerabilidades.
Esta campaña demuestra un cambio cualitativo en el uso de la IA por parte de atacantes: aquí la inteligencia artificial no solo ayuda a escribir un exploit, sino que es el elemento central de toda la arquitectura operativa, desde la investigación de la vulnerabilidad hasta la ampliación de la escala del ataque con retroalimentación. Las organizaciones que utilicen PaperCut NG/MF deben instalar de inmediato las actualizaciones a las versiones 26.0.5, 25.0.13 o 24.1.10, retirar la interfaz web del acceso público y revisar sus sistemas en busca de los indicadores de compromiso descritos: el plazo de remediación indicado por CISA KEV expira el 14 de septiembre de 2026.
