PaperCut sustituye sus parches de emergencia por versiones de mantenimiento
La compañía publica las versiones 26.0.5, 25.0.13 y 24.1.10 de PaperCut NG/MF, que integran las correcciones de los tres parches urgentes para dos CVE explotadas y añaden dos regresiones resueltas.
PaperCut ha publicado nuevas versiones de mantenimiento que reemplazan los tres parches de emergencia distribuidos para tapar dos vulnerabilidades que se están explotando activamente. Las builds 26.0.5, 25.0.13 y 24.1.10 de PaperCut NG/MF ya se pueden descargar y, según la empresa, han pasado el ciclo completo de control de calidad, algo que los parches urgentes no cumplían.
Las versiones de mantenimiento incorporan todo lo que llevaban los Emergency Patch Releases 1, 2 y 3, más endurecimiento adicional, y corrigen además dos regresiones que arrastraban esas entregas. PaperCut publicó el aviso en su boletín de seguridad.
Las dos CVE y quién las está usando
Las fallas son CVE-2026-81578 y CVE-2026-82078, y permiten saltarse la autenticación y ejecutar código arbitrario en instancias vulnerables.
GreyNoise y Blackpoint Cyber han documentado una campaña atribuida a un actor presuntamente rusófono que ha usado ambas para entrar en al menos 395 organizaciones repartidas por 48 países. El grueso de los objetivos se concentra en el sector educativo estadounidense. La operación, según los analistas, se apoyó en cientos de agentes de IA montados sobre el harness Codex de OpenAI y un modelo de DeepSeek para golpear a escala, y excluía objetivos en Rusia, China, Hong Kong, Tailandia, Irán y otros 23 países. El tráfico parte de la dirección IP 45.142.193[.]132.
"No está claro si este actor se limita a preparar accesos para cedérselos a otros afiliados o si va a aprovecharlos directamente para objetivos posteriores, como robo de datos o despliegue de ransomware", ha señalado GreyNoise.
A PaperCut le interesa quitar de circulación los parches de emergencia cuanto antes: quien tenga una build de ese tipo debería migrar a una versión de mantenimiento. Con explotación activa en marcha y una campaña automatizada golpeando a cientos de organizaciones a la vez, seguir sobre un parche urgente es quedarse con la parte peor de las dos: el código sin el QA.
