Bypass del parche de PaperCut: de Scan2Fax a RCE previa a la autenticación

El 9 de octubre, watchTowr divulgó una nueva cadena de bypass de autenticación y Scan2Fax contra una versión intermedia de PaperCut. Muestra cómo varios bypasses de parches reabrieron una ruta previa a la autenticación hacia una vulnerabilidad de ejecución de comandos posterior a la autenticación; las correcciones finales de PaperCut son 26.0.5/25.0.13.^{[1], [2]}

💡 Explicación en Lenguaje Sencillo (ELI5)

Imagine un edificio donde cada sala comprueba la credencial del visitante, pero el vestíbulo solo revisa la primera sala de su recorrido. Un atajo por una sala abierta puede llegar a un escritorio restringido sin volver a comprobar la credencial. El historial de parches de PaperCut tuvo que cerrar más de una ruta así; la corrección final protege los propios formularios y la ruta de archivos que usa Scan-to-Fax.^[1]

Conceptos Clave y Términos

Bypass de parche: Una ruta distinta alcanza la misma operación protegida después de que una corrección bloquee solo la ruta comunicada originalmente. Es un nuevo defecto en el límite, no prueba de que el parche original faltara por completo.^[1]
Cadena previa a la autenticación: Secuencia en la que un fallo evita la comprobación normal de inicio de sesión y otro aporta un impacto, como ejecutar comandos. Cada eslabón tiene mecánicas distintas y debe describirse con precisión.^[1]
CVE-2026-82077: La vulnerabilidad de Scan-to-Fax de PaperCut es un fallo de path traversal que puede permitir ejecutar comandos a un administrador autenticado. PaperCut la corrige en 26.0.5 y 25.0.13; watchTowr mostró cómo un bypass de autorización separado en una versión intermedia podía encadenarse con ella.^{[2], [3], [4], [1]}
WT-2026-0143: Identificador de watchTowr para un bypass del parche de autenticación divulgado el 9 de octubre. El boletín público de PaperCut no le asigna un CVE independiente. Se corrigió en la compilación de emergencia 26.0.4-PO 76530.^[1]
Estado de explotación: En agosto, PaperCut informó de explotación real de fallos anteriores. Su boletín de septiembre dice que no tenía pruebas de explotación de los problemas tratados allí, incluida CVE-2026-82077. La investigación del 9 de octubre demuestra la cadena en una versión intermedia, pero no demuestra que esta cadena nueva se usara contra clientes.^{[5], [2], [1]}

Mapeos de marcos

Referencia CWE para la debilidad descrita en esta guía: CWE-22 CWE-78

Estado de versiones: distingue las dos cadenas de PaperCut

Versión de PaperCut	Qué confirman las fuentes	Acción defensiva
26.0.3	watchTowr identifica esta versión en la cadena anterior observada en ataques reales: `CVE-2026-81578` + `CVE-2026-82078`.	Sigue el aviso urgente de PaperCut; esta es la cadena explotada anterior, no la investigación de octubre.
26.0.4	watchTowr encontró bypasses de parches distintos al analizar esta versión.	No consideres un parche intermedio como estado final; sigue las versiones corregidas indicadas por el proveedor.
26.0.4-PO build 76508	watchTowr reprodujo aquí WT-2026-0143 + `CVE-2026-82077`. Es una demostración de investigación, no una prueba de explotación contra clientes.	Actualiza a una versión corregida por el proveedor; no supongas que esta versión está protegida por incluir arreglos de emergencia anteriores.
26.0.4-PO build 76530	watchTowr indica que esta versión corrigió WT-2026-0143; `CVE-2026-82077` se corrigió en una versión posterior.	Continúa hasta la corrección final de `CVE-2026-82077`; este arreglo intermedio por sí solo no basta.
26.0.5 / 25.0.13 o posterior	PaperCut señala estas versiones como las que corrigen `CVE-2026-82077`.	Actualiza a la versión compatible más reciente y verifica la rama y compilación instaladas.
Versión de mantenimiento 24.1.10	El aviso de agosto de PaperCut incluye 24.1.10 como versión de mantenimiento que sustituye Emergency Patches 1–3.	Esto confirma solo las correcciones de agosto; no establece el estado de `CVE-2026-82077`.
Rama 24.x: `CVE-2026-82077`	El boletín de septiembre de PaperCut indica 26.0.5 y 25.0.13 (25.x) como versiones corregidas; no especifica la rama 24.x.	No deduzcas el estado de esta CVE en 24.x; consulta la guía actual de PaperCut para la rama.

Cronología del Incidente

2026-08-27

PaperCut publicó un aviso urgente sobre explotación de PaperCut NG/MF. watchTowr relacionó después la cadena anterior con CVE-2026-81578 y CVE-2026-82078; es distinta de la nueva cadena WT-2026-0143 más CVE-2026-82077.^{[5], [1]}

2026-08-28

PaperCut publicó 26.0.4 y después la compilación de emergencia 26.0.4-PO 76508. watchTowr informa que encontró bypasses sucesivos al analizar esas correcciones.^{[1], [5]}

2026-08-31 a 2026-09-10

watchTowr informó a PaperCut de WT-2026-0143 y CVE-2026-82077. PaperCut corrigió WT-2026-0143 en 26.0.4-PO 76530 el 1 de septiembre y CVE-2026-82077 en 26.0.5/25.0.13 el 10 de septiembre.^{[1], [2]}

2026-10-09

watchTowr publicó el análisis técnico de la cadena en la versión intermedia. La divulgación no demuestra que esta cadena más reciente se utilizara contra clientes.^{[1], [2]}

Flujo de Ataque Paso a Paso

Paso 1

La comprobación de permisos de una ruta omite un destino anidado

watchTowr describe el enrutamiento Tapestry heredado de PaperCut, donde una solicitud puede indicar una página raíz y otra página/formulario posterior. La comprobación de autorización anterior no aplicaba de forma coherente el permiso propio del formulario de destino.^[1]

Paso 2

Un bypass del parche alcanza un formulario protegido

La cadena de 26.0.4-PO 76508 usó WT-2026-0143 para alcanzar funciones de configuración mediante una página cuya validación no ejecutaba la comprobación del formulario de destino. Esto describe el límite de autorización, sin reproducir la ruta ni las solicitudes.^[1]

Paso 3

Scan-to-Fax tiene un fallo independiente de ruta a comando

PaperCut clasifica CVE-2026-82077 como path traversal en la configuración de Scan-to-Fax, que permite a un administrador autenticado ejecutar comandos en el host. watchTowr mostró que el bypass de autorización de la versión intermedia podía aportar el contexto autenticado que faltaba.^{[1], [2]}

Paso 4

Las versiones finales cierran la cadena divulgada

PaperCut corrigió WT-2026-0143 en la compilación de emergencia 76530 y CVE-2026-82077 en 26.0.5/25.0.13. La divulgación de octubre no significa que esas versiones finales sigan siendo vulnerables ni que la nueva cadena se explotara en el mundo real.^{[1], [2]}

Código Fuente: Vulnerable vs. Seguro

Este ejemplo genérico de Java muestra dos controles independientes: autorizar la operación privilegiada y seleccionar un ejecutable de un mapa de conectores controlado por el servidor, verificando su ruta canónica. No es código de PaperCut ni el parche del proveedor. El código de producción también debe validar argumentos, limitar los privilegios del proceso y usar la versión corregida de PaperCut; comprobar rutas por sí solo no corrige un bypass de autorización en el enrutamiento de páginas.

IMPLEMENTACIÓN VULNERABLE

Path executable = faxDirectory.resolve(clientConnectorName).normalize();
// Una comprobación a nivel de ruta no sustituye la autorización de esta operación.
new ProcessBuilder(executable.toString(), faxArguments).start();

PARCHE SEGURO Y ROBUSTO

if (!principal.canAdministerFax()) {
    throw new SecurityException("Fax administration is required");
}
Path root = faxDirectory.toRealPath();
Path executable = approvedConnectors.get(connectorId); // Server-owned allowlist.
if (executable == null) {
    throw new IllegalArgumentException("Unknown connector");
}
Path resolved = executable.toRealPath();
if (!resolved.startsWith(root) || !Files.isExecutable(resolved)) {
    throw new SecurityException("Connector is outside the approved directory");
}
new ProcessBuilder(resolved.toString(), validatedArguments).start();

Lista de Verificación de Seguridad para Ingeniería

✓Actualice PaperCut NG/MF a 26.0.5 o posterior, o a 25.0.13 o posterior en la rama 25.x. No considere la compilación intermedia 76508 como la corrección final; el boletín de seguridad de PaperCut identifica las versiones finales corregidas.^{[2], [4]}
✓Si una versión afectada o intermedia estuvo expuesta, siga el boletín de seguridad y las instrucciones de respuesta a incidentes actuales de PaperCut; no deduzca que la investigación de octubre demuestra una intrusión o explotación activa de WT-2026-0143/CVE-2026-82077.^[2]
✓Autorice cada página y formulario de destino en el límite de la operación. Añada pruebas para el enrutamiento directo y anidado para que una página raíz permitida no pueda invocar un destino protegido sin su propia comprobación de autorización.^[1]
✓No derive rutas de ejecutables de nombres de conectores enviados en una solicitud. Asocie identificadores estables a ejecutables configurados en el servidor, canonicalice las rutas y rechace cualquier ejecutable resuelto fuera del directorio aprobado.^{[1], [2]}
✓Mantenga las correcciones de bypass de autenticación y de ejecución de comandos como controles separados en la revisión de código y las notas de versión; verifique ambos con pruebas de regresión después de cambios en el framework o el enrutamiento.^[1]
✓Al revisar avisos, distinga la cadena anterior explotada CVE-2026-81578/CVE-2026-82078 de la investigación posterior sobre el bypass del parche. Atribuya la explotación observada, la reproducción del investigador y las versiones corregidas a sus fuentes respectivas.^{[1], [2]}