CISA impõe prazo de 14 de setembro para PaperCut apos segunda correção emergencial falhar em bypass do watchTowr

A CISA adicionou nesta segunda-feira, 31 de agosto, duas falhas do PaperCut NG/MF ao catálogo Known Exploited Vulnerabilities e ativou a Binding Operational Directive 26-04, que obriga agências federais civis americanas a aplicar mitigações até 14 de setembro. As falhas são a CVE-2026-82078, de reflexão insegura com CVSS 9.4, e a CVE-2026-81578, de autenticação ausente para função crítica com CVSS 8.8. Encadeadas, permitem a um atacante remoto e não autenticado alterar a configuração do servidor e executar bytecode Java arbitrário no contexto do processo PaperCut.

A sequência de eventos anterior à decisão da CISA é curta e ruim. Os ataques começaram em 26 de agosto. A PaperCut publicou boletim de segurança em 27 de agosto e liberou a primeira correção emergencial no dia seguinte para as versões 25 e 26 do NG/MF. Ainda em 28 de agosto, a fornecedora precisou publicar uma segunda correção emergencial, incluindo agora a versão 24, depois que pesquisadores da watchTowr reproduziram a cadeia pré-autenticação e derrubaram o patch inicial de várias maneiras. A Huntress reproduziu a cadeia completa e observou exploração em dois ambientes de clientes, com os atacantes em fase de reconhecimento.

Por que a segunda correção emergencial pesa

Dois patches em 48 horas para a mesma cadeia de execução remota indicam engenharia insuficiente no primeiro fix, o que joga a responsabilidade operacional para a base instalada. A PaperCut é uma companhia australiana de Melbourne, com mais de 100 milhões de usuários em ambientes de educação, saúde e governo em cerca de 200 países. O servidor de gestão fica exposto à internet em uma parcela significativa dessas implantações, tornando o vetor pré-autenticação particularmente perigoso.

A equipe da watchTowr afirmou que a rota de bypass envolveu manipulação da lógica de validação de acesso antes da checagem final de autorização, um padrão que já apareceu em incidentes anteriores da PaperCut em 2023, quando falhas do produto foram usadas por afiliados do Cl0p em ambientes com MOVEit. O histórico repetido é o que sustenta a decisão da CISA de forçar patch obrigatório.

Como a ordem federal se propaga

A BOD 26-04 vale para o Executive Branch civil dos EUA, mas o efeito prático é mais amplo. Fornecedores gerenciados que atendem o governo federal precisam também aplicar as correções nos ambientes de clientes para manter conformidade contratual, o que inclui integradores como Leidos, CGI Federal, Peraki e a operação americana da Capgemini Government Solutions. Grandes universidades americanas, que representam uma fatia enorme do parque instalado do PaperCut, tendem a seguir o mesmo prazo por espelhamento de política.

No Reino Unido, o National Cyber Security Centre historicamente publica alertas em espelho das entradas do KEV com defasagem de horas, o que deve levar universidades britânicas, o NHS e vários councils a repetir o cronograma até meados de setembro. Na Alemanha, o BSI aciona seu próprio Warn- und Informationsdienst com procedimento semelhante para os ministérios federais. Para as áreas de segurança de empresas globais com filiais nos EUA, o alinhamento é obrigatório na prática, porque o auditor externo vai marcar a exceção em qualquer avaliação SOC 2 ou ISO 27001 encaminhada em outubro.

O que o CISO deve exigir do fornecedor

O ponto operacional imediato é rodar a checagem de indicadores publicada pela Huntress e pela Rapid7, atualizar para as versões corrigidas do NG/MF e, se o servidor de gestão estiver exposto, tirá-lo da internet até validação. O ponto contratual imediato é diferente: cobrar da PaperCut um post-mortem público sobre por que a primeira correção falhou e qual foi a mudança no processo de teste que evitará uma terceira. Se essa resposta não vier antes do próximo ciclo de renovação, o CISO ganha munição para colocar a solução em revisão de risco de fornecedor. Repetir a compra do produto sem essa exigência formal é ignorar que a linha entre patch emergencial e patch de emergência do patch já foi cruzada duas vezes na mesma semana.