Serveurs d'impression PaperCut : deux failles activement exploitées, et une leçon pour toutes les PME

Un serveur d'impression ne fait pas partie des équipements auxquels on pense en premier quand on parle de cyberattaque. C'est pourtant celui qui a occupé les équipes de sécurité la semaine dernière. Le 27 août, l'éditeur PaperCut a annoncé que deux vulnérabilités de ses logiciels PaperCut NG et PaperCut MF, très répandus dans les écoles, les administrations, les cabinets et les PME pour compter et facturer les impressions, étaient déjà attaquées avant la publication du moindre correctif.

La première faille, référencée CVE-2026-81578, permet à quelqu'un qui n'a aucun compte de contourner l'authentification de l'interface d'administration et d'en modifier la configuration. La seconde, CVE-2026-82078, notée 9,4 sur 10 sur l'échelle de gravité habituelle, autorise l'exécution de code sur le serveur lui-même. Combinées, elles offrent à un attaquant distant les clés d'une machine installée au coeur du réseau de l'entreprise.

Un premier correctif contourné en quarante-huit heures

La société Huntress, qui surveille les parcs informatiques de ses clients, a repéré les premières traces d'exploitation dès le 26 août : des commandes encodées glissées dans les journaux du serveur, servant à reconnaître la machine avant d'aller plus loin. PaperCut a réagi vite, avec un correctif d'urgence publié le jour même de l'annonce.

Sauf que l'histoire ne s'est pas arrêtée là. Les chercheurs de WatchTowr ont montré, d'après SecurityWeek, que ce premier correctif pouvait être contourné de plusieurs manières, et ont mis au jour au passage un autre défaut d'authentification. Une deuxième version du correctif a donc été diffusée dans la foulée, cette fois pour les versions 24, 25 et 26 du logiciel. Autrement dit, les entreprises qui ont appliqué la première rustine et considéré le dossier comme clos sont toujours vulnérables. La fondation ShadowServer comptait encore un millier d'installations PaperCut accessibles depuis Internet, essentiellement en Europe et en Amérique du Nord.

Ce qu'il faut faire, chez vous, cette semaine

Si votre entreprise utilise PaperCut, la marche à suivre est simple : installez la seconde version du correctif d'urgence, même si la première a déjà été appliquée, puis vérifiez les journaux du serveur. PaperCut signale plusieurs indices de compromission, notamment des fichiers de journalisation étrangement tronqués ou disparus, ou des messages d'erreur inhabituels liés à la base de données. En cas de doute, faites examiner la machine avant de la remettre en service.

Mais l'essentiel de la leçon vaut pour tout le monde, y compris si vous n'avez jamais entendu parler de ce logiciel. La recommandation la plus forte de l'éditeur n'est pas d'appliquer le correctif : c'est de ne plus laisser l'interface d'administration accessible depuis Internet, et de la restreindre à quelques adresses de confiance. Aucune faille, même notée 9,4, ne peut être exploitée à distance si le service n'est pas joignable de l'extérieur.

Le conseil pratique de la semaine tient donc en un inventaire. Prenez trente minutes pour lister ce qui, dans votre entreprise, est publié sur Internet : caméras de surveillance, NAS, serveur de sauvegarde, interface de votre routeur, console d'administration de votre logiciel métier, ancien accès à distance créé pendant le confinement et jamais refermé. Pour chaque élément, posez une seule question : est-ce que quelqu'un a réellement besoin d'y accéder depuis l'extérieur ? Si la réponse est non, coupez l'accès. Si la réponse est oui, faites-le passer par un VPN plutôt que de l'exposer directement.

Cette liste est souvent plus longue que ce que les dirigeants imaginent, parce qu'elle s'est constituée par couches successives, au fil des dépannages et des besoins ponctuels. C'est précisément le genre d'audit que nous réalisons pour nos clients à Bastogne et à Wiltz, et qui coûte infiniment moins cher qu'une remise en état après incident.