CISA đưa hai lỗ hổng PaperCut NG/MF vào KEV: kiểm kê, vá khẩn và threat hunt

CISA thông báo ngày 31/08/2026 rằng hai lỗ hổng PaperCut đã được thêm vào KEV dựa trên bằng chứng active exploitation. Catalog ghi CVE-2026-81578 là missing authentication for critical function và CVE-2026-82078 là unsafe reflection; ngày đến hạn FCEB là 14/09/2026. KEV chứng minh tiêu chí khai thác đã biết của CISA, không chứng minh một máy cụ thể đã bị xâm nhập.

Bulletin PaperCut ban đầu phát hành 27/08, được cập nhật tới 31/08. Hãng nêu phạm vi là mọi phiên bản PaperCut NG và MF, phát hành Emergency Patch Release 3 (bản tích lũy thay thế Release 2) cho v24, v25, v26; hệ thống trước v24 được khuyến nghị nâng lên phiên bản mới nhất. Site Server và secondary/print server cũng cần patched version; PaperCut nói Print Deploy và Mobility Print không thuộc phạm vi hai lỗi này.

CVE-2026-81578 có thể cho phép request chưa xác thực thay đổi một số cấu hình trong điều kiện cụ thể. CVE-2026-82078 liên quan dynamic class loading trong database connection utilities; bulletin mô tả khả năng thực thi Java bytecode có trên classpath nếu kẻ tấn công thao túng được configuration. Đây là mô tả tác động của hãng, không phải hướng dẫn khai thác.

PaperCut đã bổ sung IOC ngày 30/08, gồm chuỗi server.log, file có tên ngẫu nhiên dưới một số thư mục và hành vi child process từ pc-app. Hãng cảnh báo artifact có thể bị xóa, vì vậy vắng IOC không loại trừ compromise. Ngày 31/08, hãng nói vẫn đang tiến tới official release; Emergency Patch Release 3 (bản tích lũy thay thế Release 2) là emergency patch, chưa qua quy trình release thường lệ.

• Hai CVE vào KEV 31/08 — Nguồn: CISA; Ý nghĩa vận hành: Ưu tiên khẩn do khai thác đã biết
• Hạn FCEB 14/09 — Nguồn: CISA KEV; Ý nghĩa vận hành: Mốc bắt buộc cho FCEB, tham chiếu cho tổ chức khác
• Phạm vi mọi NG/MF — Nguồn: PaperCut; Ý nghĩa vận hành: Inventory theo product/version, không chỉ v24–26
• Patch Release 3 cho 24/25/26 — Nguồn: PaperCut; Ý nghĩa vận hành: Kiểm tra đúng artifact/checksum
• Chưa phải official release — Nguồn: PaperCut; Ý nghĩa vận hành: Cần canary, rollback và theo dõi issue

PaperCut Application Server thường có quyền, dữ liệu và kết nối quản trị đáng kể; bước đầu là tìm mọi primary, Site Server, secondary/print server, URL web, reverse proxy và firewall path. PaperCut yêu cầu hạn chế web access từ Internet về trusted IP ngay cả khi chưa thấy activity bất thường.

Vá không thay thế threat hunt. Nếu nghi compromise, bulletin khuyến nghị bảo toàn backup, wipe/rebuild Application Server và restore clean backup trước hành vi đáng ngờ, đồng thời kích hoạt incident response. Sau patch, cần smoke test authentication, print release, SAML, external Card/ID lookup, Site Server sync và logging; hãng đã ghi nhận báo cáo vấn đề SAML/Card lookup sau patch và có hướng dẫn riêng.

Đội IT trường học, đại học, doanh nghiệp, y tế và tổ chức dùng PaperCut NG/MF cần hành động. MSP/reseller phải xác nhận phạm vi từng khách hàng và evidence, không chỉ nói “đã cập nhật”. SOC/IR cần log/EDR/network data; network team thu hẹp access; application owner xác nhận chức năng in ấn và xác thực sau change.

Tổ chức không thuộc FCEB không bị ràng buộc bởi due date BOD 22-01, nhưng KEV là tín hiệu ưu tiên mạnh. Những nơi không biết phiên bản hoặc không có owner phải coi là “cần xác minh”, không tự đánh dấu không ảnh hưởng.

Không thể kết luận mọi PaperCut Internet-facing đã bị xâm nhập, hoặc hai CVE luôn được chain theo cùng cách. Không suy CVSS thành khả năng khai thác của từng topology. Không thấy log/file IOC cũng không chứng minh sạch, đúng như cảnh báo của hãng.

Tại thời điểm kiểm tra, PaperCut chưa gọi Emergency Patch Release 3 (bản tích lũy thay thế Release 2) là official release. Không nên bịa version build cố định nếu bulletin chỉ phân phối artifact theo nhánh và checksum. Cũng chưa thể kết luận patch không có tác động chức năng; phải thử đúng SAML, database/card lookup và Site Server của từng site.

• Inventory toàn bộ NG/MF primary, Site Server và secondary server.
• Ghi branch/version, OS, Internet exposure, owner và backup.
• Restrict web access về trusted IP/VPN/jump host ngay.
• Mở lại CISA KEV và bulletin PaperCut bản mới nhất.
• Tải Release 3 từ bulletin; xác minh checksum đúng OS/branch.
• Bảo toàn server.log, EDR, process, file, network và auth evidence.
• Hunt IOC/hành vi hãng công bố; không dùng vắng IOC để close.
• Patch canary rồi các server thuộc phạm vi; theo dõi issue.
• Test SAML, Card/ID lookup, printing, Site Server sync và logging.
• Nếu nghi compromise, theo IR và cân nhắc wipe/rebuild như hãng nêu.
• Ghi artifact, thời điểm, người duyệt, kết quả và residual risk.

• KEV: Danh mục lỗ hổng CISA xác định đã bị khai thác.
• FCEB: Cơ quan thuộc nhánh hành pháp dân sự liên bang Hoa Kỳ.
• Emergency patch: Bản khắc phục khẩn có lifecycle khác release thường lệ.
• IOC: Chỉ báo có thể liên quan compromise; không phải bằng chứng loại trừ.
• Containment: Hành động hạn chế tiếp tục truy cập/tác động.
• Threat hunt: Tìm dấu hiệu hành vi xâm nhập từ nhiều nguồn bằng chứng.