Lỗ hổng PaperCut bị khai thác để đánh cắp thông tin đăng nhập
"Attackers are exploiting newly disclosed PaperCut vulnerabilities, CVE-2026-81578 and CVE-2026-82078, in a chain that enables authentication bypass and remote code execution against servers used by schools and universities. Observed post-exploitation activity includes credential harvesting, registry hive collection, reconnaissance, and privileged account creation; mitigation includes restricting internet exposure of PaperCut servers and monitoring for suspicious command execution and file access."
Rủi ro cao do bypass xác thực kết hợp RCE, có thể dẫn đến đánh cắp thông tin đăng nhập và mở rộng xâm nhập sang các hệ thống khác.
Có thể ảnh hưởng đến dịch vụ in ấn và xác thực trong trường học/đại học, đồng thời làm tăng chi phí ứng phó sự cố và gián đoạn vận hành.
Các tác nhân tấn công đang khai thác hai lỗ hổng mới công bố trong PaperCut, gồm CVE-2026-81578 và CVE-2026-82078, theo chuỗi tấn công cho phép vượt qua xác thực và thực thi mã từ xa trên máy chủ dùng trong môi trường giáo dục. Hoạt động quan sát được tập trung vào các tổ chức K-12, cao đẳng và đại học tại Mỹ và châu Âu.
Theo ghi nhận, sau khi xâm nhập, kẻ tấn công thực hiện thu thập thông tin đăng nhập, thu thập Windows registry hive, do thám hệ thống và tạo tài khoản đặc quyền. Một số công cụ và hành vi được phát hiện gồm lsa_collect.exe, save_hives.exe, payload Java liên quan đến Meterpreter, cùng các lệnh kiểm tra như whoami, tasklist, ver và uname -a. Kẻ tấn công cũng tìm kiếm các tệp cấu hình PaperCut để lấy các chuỗi như password, secret, ldap, bind và token.
Khuyến nghị kỹ thuật là hạn chế để PaperCut server lộ ra Internet, theo dõi việc thực thi cmd.exe, powershell.exe và các trình thông dịch lệnh khác, đồng thời giám sát truy cập tệp bất thường và việc tạo tài khoản đặc quyền. Việc phát hiện sớm có thể giúp giảm nguy cơ lan rộng sang các hệ thống quan trọng khác trong môi trường.