Patch pertama PaperCut bisa dilewati—admin harus memasang Release 2

PaperCut merilis Emergency Patch Release 2 untuk PaperCut NG dan MF pada 28 Agustus 2026 setelah peneliti menemukan beberapa cara melewati perbaikan awal. Laporan BleepingComputer mengonfirmasi bahwa Release 2 menggantikan patch pertama dan harus dipasang juga oleh administrator yang telah menerapkan perbaikan tersebut.

Pada tanggal yang sama, PaperCut menyediakan Release 2 untuk versi 24, 25, dan 26 di Windows, Linux, serta macOS. Buletin keamanan PaperCut menyatakan semua versi NG dan MF berpotensi terdampak; instalasi versi 23 atau lebih lama harus ditingkatkan ke versi terbaru karena tidak tersedia paket Release 2 untuk cabang tersebut.

Release 2 menggantikan patch darurat pertama

Patch pertama tidak lagi cukup karena penelitian lanjutan menemukan sejumlah jalur untuk melewatinya. Release 2 menambahkan penguatan yang dikembangkan bersama tim keamanan internal PaperCut serta peneliti eksternal. Statusnya masih patch darurat dan belum melewati proses rilis normal perusahaan.

Dua masalah yang dimitigasi adalah CVE-2026-81578 dan CVE-2026-82078. CVE-2026-81578 memungkinkan permintaan jarak jauh tanpa autentikasi memicu fungsi administratif sebelum pemeriksaan akses selesai, sehingga konfigurasi tertentu dapat diubah. CVE-2026-82078 berada pada utilitas koneksi basis data yang dapat memuat kelas berdasarkan nama driver tanpa memeriksanya terhadap daftar yang disetujui.

Jika dirangkai, bypass autentikasi itu memberi penyerang jalan untuk memanipulasi konfigurasi yang kemudian digunakan oleh kelemahan dynamic class loading. Hasil akhirnya adalah eksekusi bytecode Java arbitrer dalam konteks proses PaperCut Application Server. Inilah alasan Release 2 diperlukan meskipun patch pertama telah terpasang.

Versi dan keterpaparan menentukan prioritas

Application Server yang dapat dijangkau dari internet menjadi prioritas tertinggi karena serangan dapat dimulai tanpa kredensial. Akses web dari alamat internet yang tidak tepercaya perlu dibatasi segera melalui firewall, kontrol akses jaringan, VPN, atau jalur administrasi terkendali.

• Versi 24, 25, atau 26: pasang paket Emergency Patch Release 2 yang sesuai dengan PaperCut NG atau MF, versi utama, dan sistem operasi server.
• Versi 23 atau lebih lama: tingkatkan instalasi ke versi terbaru yang didukung; PaperCut tidak menyediakan Release 2 untuk cabang tersebut.
• Patch pertama sudah terpasang: perlakukan server sebagai belum selesai diperbaiki dan lanjutkan ke Release 2.
• Server hanya berada di jaringan internal: pastikan antarmuka web tidak tetap terbuka melalui NAT, reverse proxy, atau aturan firewall lama, lalu pasang Release 2.

Pembaruan tidak berhenti pada Application Server utama. Site Server dan secondary atau print server juga harus dipindahkan ke versi yang telah ditambal. Print Deploy dan Mobility Print memakai komponen yang tidak terdampak oleh kedua kerentanan tersebut sehingga tidak memerlukan pembaruan ini.

Batasi akses, amankan bukti, lalu perbarui

Pada server yang pernah terbuka ke internet, pembaruan atau restart dapat mengubah bukti yang diperlukan untuk menentukan apakah eksploitasi telah terjadi. Karena itu, pembatasan akses dan pengamanan data investigasi perlu mendahului pemasangan Release 2 apabila kondisi operasional memungkinkan.

1. Batasi antarmuka web Application Server ke alamat atau jaringan tepercaya.
2. Amankan direktori log lengkap beserta metadata, konfigurasi aktif dan nonstandar, pohon proses endpoint, serta log reverse proxy, WAF, firewall, DNS, dan aliran jaringan.
3. Pasang Release 2 pada Application Server, Site Server, dan secondary atau print server yang terkait.
4. Verifikasi versi hasil pembaruan dan pastikan antarmuka administrasi tidak kembali terbuka ke internet.
5. Periksa indikator kompromi dan aktifkan prosedur respons insiden bila ditemukan.

Patch menutup jalur serangan yang diketahui, tetapi tidak menghapus akun, layanan, tugas terjadwal, atau alat akses jarak jauh yang mungkin telah ditanam sebelumnya. Jika bukti mengarah pada kompromi, PaperCut merekomendasikan pencadangan keadaan server saat ini, penghapusan dan pembangunan ulang Application Server, lalu pemulihan dari cadangan bersih yang dibuat sebelum aktivitas mencurigakan.

Jejak kompromi yang perlu dicari

Investigasi Huntress menemukan eksploitasi pada dua lingkungan pelanggan dan mereproduksi rantai eksekusi kode jarak jauh pra-autentikasi pada instalasi standar PaperCut NG 25.0.11.75758. Aktivitas yang diamati mencakup perintah whoami & ver untuk mengenali akun dan sistem operasi, pengiriman berkas Java .class, serta penghapusan artefak sesudah eksekusi.

Administrator perlu memeriksa proses pc-app.exe atau pc-app yang meluncurkan shell maupun utilitas pengenalan sistem. Petunjuk lain meliputi server.log yang hilang atau terpotong, serta entri ERROR No suitable driver found for jdbc:no:x dan Database error looking up cardID: VALUES CAST.

Artefak tambahan mencakup string DB URL: jdbc:derby:memory:pwn;create=true, berkas .class bernama acak lima karakter di direktori server/lib, serta berkas .cmd atau .out di server/data/content. Pada Windows, pemeriksaan juga perlu mencakup layanan bernama Remote Access Service yang menjalankan SimpleService.exe dan instalasi AnyDesk yang tidak diharapkan.

Ketiadaan artefak tersebut tidak membuktikan server bersih. Berkas dan log dapat dihapus selama aktivitas berlangsung, sementara pola pascakompromi dapat berbeda antarlingkungan. Temuan harus dinilai bersama telemetri endpoint, catatan jaringan, layanan baru, tugas terjadwal, dan waktu perubahan berkas.

Patch tersedia, tetapi investigasi berlanjut

Per 30 Agustus 2026, Release 2 telah tersedia, tetapi PaperCut masih mengembangkan dan memvalidasi rilis resmi. Perusahaan juga menyelidiki laporan bahwa lookup Card/ID melalui basis data eksternal dan SAML tidak bekerja sebagaimana diharapkan setelah patch. Pengguna SQL Server yang masih memakai driver jTDS lama diarahkan terlebih dahulu ke driver Microsoft SQL JDBC terbaru yang didukung, meskipun langkah itu belum tentu menyelesaikan setiap kasus.

Identitas pelaku dan cakupan penuh aktivitas pascakompromi belum dipastikan. Status aman karena itu tidak dapat ditentukan hanya dari keberhasilan instalasi patch: seluruh server terkait harus memakai Release 2 atau versi terbaru yang didukung, akses publik harus dibatasi, dan sistem dengan indikator mencurigakan harus tetap ditangani sebagai insiden sampai pemeriksaan selesai.

Baca juga:

• CVE-2026-8452 aktif dieksploitasi, tenggat patch NetScaler sangat sempit
• Satu memori palsu bisa menyesatkan agen AI lama setelah sesi berakhir