FlawOpen

flawopen.com/Incidents/papercut-patch-bypass-scan2fax-chain-october-2026

● PaperCut NG/MF · CVE-2026-82077 · 2026-10-09 · CVSS 7.3 · 高危
安全研究 · FlawOpen

PaperCut 补丁绕过：Scan2Fax 到预认证 RCE

10 月 9 日，watchTowr 披露了一条针对 PaperCut 中间版本的新认证绕过与 Scan2Fax 利用链。该链展示了补丁绕过如何重新打开从预认证入口到后认证命令执行漏洞的路径；PaperCut 的最终修复版本为 26.0.5/25.0.13。[1], [2]

💡 通俗易懂的原理解析 (ELI5)

想象一栋楼里的每个房间都会检查访客证件，但大厅只检查访客路线上的第一个房间。访客可能从一间开放的房间绕到受限办公桌，而那里不会再次查验证件。PaperCut 的补丁历史需要关闭多个类似路径；最终修复同时保护表单本身以及 Scan-to-Fax 使用的文件路径。[1]

核心概念与专有名词

补丁绕过
修复只封住最初报告的路径后，另一条路径仍能到达同一受保护操作。这是边界上的新缺陷，并不说明原补丁完全没有生效。[1]
预认证利用链
一个缺陷绕过正常登录检查，另一个缺陷带来命令执行等影响的连续过程。每一环都有独立机制，应分别准确描述。[1]
CVE-2026-82077
PaperCut 的 Scan-to-Fax 漏洞属于路径遍历，可让已认证管理员在主机上执行命令。PaperCut 在 26.0.5 和 25.0.13 中修复；watchTowr 展示了如何将中间版本中的另一项授权绕过与其串联。[2], [3], [4], [1]
WT-2026-0143
watchTowr 对 10 月 9 日披露的认证补丁绕过问题所用的编号。PaperCut 的公开公告没有为其分配独立 CVE；该问题在紧急版本 26.0.4-PO build 76530 中修复。[1]
利用状态
PaperCut 在 8 月报告称其早期缺陷遭到真实攻击。9 月公告称没有证据显示其中的问题（包括 CVE-2026-82077）遭到利用。10 月 9 日的研究展示了中间版本上的链条，但不证明这条新链被用于攻击客户。[5], [2], [1]

框架映射

版本状态：区分 PaperCut 的两条漏洞链

PaperCut 版本来源确认的情况防护措施
26.0.3watchTowr 将较早的 CVE-2026-81578 + CVE-2026-82078 链与此版本及现实中的攻击联系起来。遵循 PaperCut 的紧急公告；这是较早的已遭利用链，不是十月的研究链。
26.0.4watchTowr 在分析此版本时发现了其他补丁绕过问题。不要把中间补丁视为最终状态；按厂商列出的已修复版本处理。
26.0.4-PO build 76508watchTowr 在此版本复现了 WT-2026-0143 + CVE-2026-82077。这是研究演示，并不证明客户遭到利用。升级到厂商已修复的版本；不要因为此版本包含较早的紧急修复就推断它已安全。
26.0.4-PO build 76530watchTowr 表示此版本修复了 WT-2026-0143；CVE-2026-82077 在后续版本中修复。继续升级至 CVE-2026-82077 的最终修复版本；此中间绕过修复本身并不足够。
26.0.5 / 25.0.13 或更高版本PaperCut 将这些版本列为 CVE-2026-82077 的修复版本。升级到当前受支持版本，并核对已安装的分支和构建号。
24.1.10 维护版本PaperCut 八月公告将 24.1.10 列为取代 Emergency Patches 1–3 的维护版本。这只确认了八月公告中的修复，并未确定 CVE-2026-82077 的状态。
24.x 分支：CVE-2026-82077PaperCut 九月公告将 26.0.5 和 25.0.13（25.x 分支）列为修复版本；未说明 24.x 分支。不要推断此 CVE 在 24.x 中的状态；请查阅 PaperCut 对该分支的当前指导。

事件演进时间线

2026-08-27

PaperCut 发布紧急通知，说明 PaperCut NG/MF 正遭利用。watchTowr 后来将较早的利用链关联到 CVE-2026-81578 和 CVE-2026-82078；这与新的 WT-2026-0143 加 CVE-2026-82077 链条不同。[5], [1]

2026-08-28

PaperCut 发布 26.0.4，随后发布紧急版 26.0.4-PO 76508。watchTowr 称其在分析这些补丁时发现了连续的绕过方式。[1], [5]

2026-08-31 至 2026-09-10

watchTowr 向 PaperCut 报告 WT-2026-0143 和 CVE-2026-82077。PaperCut 于 9 月 1 日在 26.0.4-PO 76530 中修复 WT-2026-0143，并于 9 月 10 日在 26.0.5/25.0.13 中修复 CVE-2026-82077。[1], [2]

2026-10-09

watchTowr 发布了针对中间版本的利用链技术说明。该披露不证明这条较新的利用链曾被用于攻击客户。[1], [2]

攻击执行流程分解

步骤 1

路由级权限检查遗漏了嵌套目标

watchTowr 描述了 PaperCut 的旧版 Tapestry 路由：请求可以指定根页面，随后再指定另一页面或表单。原有授权检查没有始终执行目标表单自身的权限边界。[1]

步骤 2

补丁绕过到达受保护表单

针对 26.0.4-PO 76508 的链条利用 WT-2026-0143，经由一个不会调用目标表单检查的页面访问设置功能。这里描述的是授权边界，不复现路由或请求。[1]

步骤 3

Scan-to-Fax 另有路径到命令的缺陷

PaperCut 将 CVE-2026-82077 分类为 Scan-to-Fax 设置中的路径遍历，可让已认证管理员在主机上执行命令。watchTowr 展示了中间版本的授权绕过如何补足认证上下文。[1], [2]

步骤 4

最终版本关闭已披露链条

PaperCut 在紧急版本 76530 中修复 WT-2026-0143，并在 26.0.5/25.0.13 中修复 CVE-2026-82077。10 月的披露不意味着最终版本仍然存在漏洞，也不证明新链曾在真实攻击中被利用。[1], [2]

源代码对比：漏洞与安全实现

此通用 Java 示例展示两项独立控制：在特权操作本身执行授权检查，并从服务器管理的连接器映射中选择可执行文件，再验证其规范路径。这不是 PaperCut 源码或供应商补丁。生产代码还必须验证参数、限制进程权限并使用已修复的 PaperCut 版本；仅检查路径无法修复页面路由中的授权绕过。

存在漏洞的实现
Path executable = faxDirectory.resolve(clientConnectorName).normalize();
// 路由级检查不能替代对此操作本身的授权。
new ProcessBuilder(executable.toString(), faxArguments).start();
加固后的安全修复
if (!principal.canAdministerFax()) {
    throw new SecurityException("Fax administration is required");
}
Path root = faxDirectory.toRealPath();
Path executable = approvedConnectors.get(connectorId); // Server-owned allowlist.
if (executable == null) {
    throw new IllegalArgumentException("Unknown connector");
}
Path resolved = executable.toRealPath();
if (!resolved.startsWith(root) || !Files.isExecutable(resolved)) {
    throw new SecurityException("Connector is outside the approved directory");
}
new ProcessBuilder(resolved.toString(), validatedArguments).start();

工程与系统安全加固清单

参考来源