Falle PaperCut sfruttate contro scuole e atenei: dal server di stampa al dominio Active Directory

Due vulnerabilità concatenate di PaperCut NG/MF sono state usate per rubare credenziali a scuole e atenei in Europa e negli Stati Uniti. Il caso mostra perché un server di stampa integrato con la directory va trattato come sistema critico, anche ai fini NIS2.

Un server di gestione delle stampe compare raramente negli inventari delle risorse critiche. Eppure, tra fine agosto e i primi di settembre 2026, attaccanti non identificati lo hanno usato per raccogliere credenziali di scuole e università in Europa e negli Stati Uniti. Lo documenta l’analisi dell’Adversary Research Team di Arctic Wolf, datata 4 settembre e ripresa dalla stampa specializzata il giorno seguente. La catena di sfruttamento parte da due vulnerabilità di PaperCut NG/MF. In pochi passaggi arriva agli hive del registro di Windows e ai file di configurazione che custodiscono le credenziali verso Active Directory e LDAP.

Le vulnerabilità erano già note. La novità del rapporto è il quadro completo: chi viene colpito, con quali strumenti e che cosa cercano gli attaccanti una volta dentro.

La campagna secondo Arctic Wolf

Il rapporto, firmato dagli analisti Jens Pose e Ross Phillips, documenta lo sfruttamento di server PaperCut vulnerabili a CVE-2026-81578 e CVE-2026-82078. Le attività osservate comprendono esecuzione di comandi, ricognizione e tentativi di creare account privilegiati. Arctic Wolf ha precisato a The Hacker News che le vittime appartengono al settore dell’istruzione in senso ampio: dalle scuole primarie e secondarie (il segmento statunitense K-12) alle grandi università, negli Stati Uniti e in Europa. Nessuna istituzione è stata nominata e il rapporto non propone alcuna attribuzione.

La cronologia mostra quanto rapidamente si è aperta la finestra di esposizione. Le date, indicate di seguito, sono tratte dall’avviso di sicurezza di PaperCut, dall’avviso CISA e dal rapporto Arctic Wolf; dove la fonte è un’azienda di sicurezza:

• 26 agosto 2026: Huntress dichiara di aver rilevato la prima attività di attacco nota e di aver riprodotto una catena completa di esecuzione di codice remoto senza autenticazione contro un’installazione standard di PaperCut NG.
• 27 agosto: PaperCut pubblica l’avviso urgente e conferma incidenti presso i clienti. La prima patch di emergenza per le versioni 25 e 26 esce alle 02:10 del 28 agosto, ora australiana, cioè la sera del 27 in Europa.
• 28 agosto: vengono assegnate le due CVE. In serata PaperCut pubblica la Emergency Patch Release 2, con misure di irrobustimento sviluppate con Huntress e watchTowr, perché la prima patch era aggirabile; poche ore dopo la estende alla versione 24.
• 29 agosto: la società Defused riferisce di attività di sfruttamento nei propri honeypot, con un attore che usa l’aggiramento dell’autenticazione per estrarre tabelle dal database interno Derby anziché eseguire codice.
• 31 agosto: CISA inserisce entrambe le CVE nel catalogo Known Exploited Vulnerabilities con un unico avviso, richiamando la Binding Operational Directive 26-04 sulla correzione prioritaria delle vulnerabilità sfruttate. Lo stesso giorno il CSIRT Italia pubblica l’alert AL04/260831/CSIRT-ITA. Rapid7 rende disponibile un modulo Metasploit.
• 1 settembre: PaperCut pubblica la Emergency Patch Release 3 per le versioni 24, 25 e 26. È cumulativa, corregge due regressioni (accesso SAML e driver Microsoft SQL Server legacy per la ricerca esterna dei numeri di tessera) e, secondo il produttore, chiude ulteriori vettori osservati in rete.
• 2 settembre: il produttore segnala una seconda ondata di attacchi contro i server esposti e non completamente aggiornati, con comportamento post compromissione più sofisticato.
• 4 settembre: Arctic Wolf pubblica l’analisi della campagna contro il settore dell’istruzione.

Sul piano tecnico, PaperCut classifica CVE-2026-81578 come difetto di controllo degli accessi nell’interfaccia web di amministrazione (CWE-306, CVSS 4.0 pari a 8.8). In determinate condizioni, richieste remote non autenticate dirette a funzioni amministrative attivano azioni prima che la verifica degli accessi sia completata. L’effetto è la modifica di alcune configurazioni di sistema. CVE-2026-82078 (CWE-470, CVSS 4.0 pari a 9.4) riguarda invece il caricamento dinamico non sicuro di classi Java nelle utilità di connessione al database. L’applicazione istanzia i driver in base a nomi configurabili, senza confrontarli con una lista di driver approvati. Concatenate, le due falle permettono di eseguire bytecode Java arbitrario nel contesto del processo del server PaperCut, senza credenziali e senza interazione dell’utente. John Hammond di Huntress ha sintetizzato così a Cybersecurity Dive: all’attaccante basta l’indirizzo IP o il nome host del bersaglio.

Il produttore considera potenzialmente interessate tutte le versioni di PaperCut NG e MF. Le patch di emergenza coprono le versioni 24, 25 e 26; per le precedenti l’indicazione è aggiornare alla versione corrente.

Perché un server di stampa è un bersaglio di valore

Guardato dalla funzione, PaperCut conta pagine, applica quote e rilascia le stampe in modo sicuro. Guardato dalla posizione in rete, il quadro cambia. L’Application Server sincronizza utenti e gruppi da Active Directory, LDAP, Microsoft Entra ID o Google Workspace, come documenta il manuale del prodotto. Conserva quindi credenziali di collegamento (bind) verso la directory, spesso associate ad account di servizio con privilegi più ampi del necessario. Deve essere raggiungibile da tutte le postazioni e da tutte le multifunzione dell’organizzazione; questo lo colloca spesso in segmenti di rete poco filtrati. In molte realtà educative è inoltre pubblicato su internet per consentire la stampa via web e il rilascio da dispositivi mobili.

Si aggiunge un fattore organizzativo. Il sistema di stampa è spesso gestito da un fornitore esterno o rientra nel contratto di noleggio delle multifunzione. Gli aggiornamenti seguono i tempi del fornitore, non quelli del rischio. Il risultato è una risorsa con accesso alla directory, esposta verso l’esterno, con un ciclo di patch lento e spesso senza un responsabile interno.

Non è la prima volta che PaperCut finisce al centro di una campagna simile. Nella primavera 2023 le vulnerabilità CVE-2023-27350 e CVE-2023-27351 furono sfruttate, secondo le ricostruzioni dell’epoca, per distribuire i ransomware LockBit e Clop; anche allora il CSIRT Italia diffuse un alert sullo sfruttamento attivo. Lo schema si ripete: un componente considerato accessorio diventa la porta d’ingresso verso il dominio.

Le tecniche post sfruttamento e cosa cercare nei log

La parte più utile del rapporto di Arctic Wolf descrive che cosa fanno gli attaccanti dopo aver ottenuto l’esecuzione di codice. La sequenza è coerente su più vittime.

1. Ricognizione: comandi lanciati tramite cmd.exe con pc-app.exe , il processo del server PaperCut, come processo padre. Le forme registrate sono cmd.exe /d /s /c "ver || uname -a" e cmd /c "whoami & ver & tasklist" ; la prima è costruita per funzionare sia su Windows sia su Linux.
2. Account privilegiati: creazione, o tentativo di creazione, di un account amministrativo con il nome ricorrente Administrator17 .
3. Raccolta dei risultati: gli output dei comandi e i dati raccolti vengono scritti in file /custom/pcp_<10 caratteri>.txt o /custom/web/pcp_<10 caratteri>.txt nelle directory di PaperCut. Vengono poi recuperati con richieste GET dall’indirizzo 45.142.193[.]132 , con User-Agent python-requests/2.32.5 .
4. Strumenti di raccolta credenziali: tramite certutil.exe vengono scaricati dallo stesso indirizzo, sulla porta 8000, gli eseguibili lsa_collect.exe , lsa_collect_small.exe e save_hives.exe . In sandbox, Arctic Wolf ha osservato lsa_collect.exe estrarre chiavi di registro per ricostruire il BootKey di sistema, che dà accesso al database SAM e quindi agli hash delle password locali.
5. Accesso remoto: payload Java di Meterpreter scaricati da 194.180.48[.]134 , con sessioni stabilite verso lo stesso host.
6. Ricerca di segreti nella configurazione: findstr /s /i /n /c:"password" /c:"secret" /c:"bind" /c:"ldap" /c:"token" sui file *.config di PaperCut.

L’ultimo passaggio è quello che, a nostro avviso, collega il server di stampa al dominio: le stringhe cercate sono quelle che identificano le credenziali di bind verso LDAP e Active Directory e i token di integrazione.

Gli indicatori pubblicati dal produttore sono concreti. Nel server.log vanno cercate stringhe come jdbc:derby:memory:pwn;create=true , ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST , ERROR No suitable driver found for jdbc:no:x e VALUES CAST(X'cafebabe , dove cafebabe è la firma esadecimale di un file .class Java. Sono sospetti anche log mancanti, troncati o cancellati. Nel file system vanno cercati file .class in server\lib e file .cmd e .out in server\data\content , tutti con nomi casuali di cinque caratteri; il produttore avverte che gli attaccanti li rimuovono man mano che l’attività procede. Sui dispositivi, la regola di rilevamento più efficace è la più semplice: pc-app.exe che genera cmd.exe , powershell.exe o altri interpreti, con revisione della riga di comando e del traffico di rete associato. Sul fronte delle identità, occorre esaminare gli eventi di gestione degli account alla ricerca di Administrator17 e di qualsiasi utenza privilegiata creata a ridosso di attività anomale sul server di stampa.

Il produttore ha inoltre documentato una sequenza post compromissione diversa da quella di Arctic Wolf, osservata dove la protezione dei dispositivi non ha bloccato l’esecuzione. Dopo whoami & ver e tasklist , l’attaccante enumera i controller di dominio con nltest /dclist: ed elenca sessioni e cartelle utente con quser e dir c:\users . Poi scarica con PowerShell un eseguibile ( ace.exe ) da un servizio di condivisione file e lo installa in modalità silenziosa. Il risultato è un servizio Windows chiamato “Remote Access Service”, che esegue l’agente SimpleHelp come LocalSystem con avvio automatico; circa mezz’ora dopo viene scaricato AnyDesk. L’intera sequenza dura meno di trenta minuti dal primo comando. Il comando nltest /dclist: conferma l’interesse per i controller di dominio prima ancora del consolidamento dell’accesso remoto. PaperCut raccomanda di cercare quel servizio e installazioni impreviste di AnyDesk.

Un punto va sottolineato: un server aggiornato oggi può essere stato compromesso ieri. La patch chiude la porta, non espelle chi è già entrato; la stessa BOD 26-04 di CISA fissa aspettative su quando le agenzie devono verificare una compromissione precedente alla patch. In caso di sospetta compromissione, il produttore raccomanda di mettere in sicurezza i backup, ricostruire da zero l’Application Server e ripristinare un backup precedente all’attività sospetta. A questo va aggiunta, per prudenza, la rotazione di tutte le credenziali che il server conosceva: account di servizio della directory, credenziali del database esterno, chiavi API e token di integrazione.

Lo stato dell’esposizione e come segregare l’istanza

Secondo quanto riportato da BleepingComputer, Shadowserver rileva oltre 800 server PaperCut NG/MF raggiungibili da internet; il dato, che non abbiamo verificato direttamente sulla piattaforma Shadowserver, non distingue tra sistemi già protetti, honeypot e istanze vulnerabili. Per un ateneo o un istituto scolastico la verifica è semplice. Basta interrogare i servizi di scansione passiva (Shodan, Censys, la stessa Shadowserver per gli enti abilitati) sulle porte predefinite dell’Application Server, 9191 e 9192. Vanno aggiunte le porte 80 e 443 quando l’interfaccia è pubblicata dietro un reverse proxy. Il risultato va confrontato con l’inventario degli indirizzi pubblici. Se l’interfaccia di amministrazione risponde da fuori, l’istanza va trattata come potenzialmente toccata.

Le indicazioni del produttore sono lineari: limitare subito l’accesso web a indirizzi fidati, con regole firewall, liste di controllo o restrizioni sul reverse proxy; applicare la Emergency Patch Release 3 anche se si è già installata la prima o la seconda; aggiornare anche Site Server e server di stampa secondari, non solo l’Application Server principale. Mobility Print, Print Deploy, i client utente e i prodotti cloud Hive e Pocket non sono interessati. Chi usa la ricerca dei numeri di tessera su un database esterno deve riattivare esplicitamente la funzione nel file security.properties , perché dopo la patch è disabilitata per impostazione predefinita. Nelle scuole senza personale tecnico interno, il primo passo è chiedere al fornitore delle multifunzione se il server PaperCut è raggiungibile da internet e quale versione è installata: due domande a cui si risponde in pochi minuti.

Il quadro italiano: scuole, atenei ed enti di ricerca tra NIS2 e inventario delle risorse

Il CSIRT Italia ha pubblicato il 31 agosto l’alert AL04/260831/CSIRT-ITA sullo sfruttamento attivo delle due CVE, con impatto sistemico “critico” (78,71). L’alert indica come vulnerabili le versioni precedenti alla 24.1.9, alla 25.0.12 e alla 26.0.4 Emergency Patch Release 2; è uscito prima della Release 3 dell’1 settembre, che resta la versione di riferimento. PaperCut è un prodotto seguito con continuità dal CSIRT: a giugno 2026 un alert aveva segnalato una vulnerabilità di gravità alta nel client Print Deploy per Windows (CVE-2026-6645), e nel 2023 lo sfruttamento delle CVE-2023-27350 e 27351. Per il lettore italiano, però, la questione non è solo di gestione delle patch.

Il D.Lgs. 4 settembre 2024, n. 138, che recepisce la direttiva NIS2, colloca il mondo della ricerca nel perimetro per due vie. L’Allegato II, tra gli altri settori critici, elenca al punto 7 le organizzazioni di ricerca. L’Allegato III, che individua le pubbliche amministrazioni soggette al decreto ai sensi dell’articolo 3, comma 6, comprende tra gli altri soggetti pubblici gli enti e le istituzioni di ricerca. Le università non rientrano automaticamente in nessuna delle due categorie. La direttiva, all’articolo 6, punto 41, definisce organizzazione di ricerca il soggetto che svolge in via principale ricerca applicata o sviluppo sperimentale a fini commerciali, ed esclude espressamente gli istituti di istruzione. L’articolo 2, paragrafo 5, lettera b), lascia però agli Stati membri la facoltà di includere gli istituti di istruzione, in particolare quando svolgono attività di ricerca critiche.

Il legislatore italiano ha esercitato questa facoltà. L’Allegato IV del decreto elenca al punto 2 gli “istituti di istruzione che svolgono attività di ricerca”. Accanto figurano il trasporto pubblico locale, i soggetti di interesse culturale e le società in house o a controllo pubblico. Per questi soggetti il decreto si applica indipendentemente dalle dimensioni, ma solo dopo l’individuazione da parte dell’Autorità nazionale competente NIS su proposta delle Autorità di settore (articolo 3, commi 8 e 13). Un ateneo non è nel perimetro per il solo fatto di esistere: lo è quando ACN glielo notifica. L’articolo 3, comma 9, lettera f), prevede inoltre che vi possa essere attratto chi è critico come elemento sistemico della catena di approvvigionamento, anche digitale, di un soggetto essenziale o importante. È una clausola che riguarda da vicino i fornitori che gestiscono servizi come la stampa per conto di atenei ed enti.

Per i soggetti nel perimetro, gli obblighi di notifica sono operativi dal gennaio 2026, come ricorda ACN nel rapporto sul primo semestre. L’articolo 25 del decreto fissa la sequenza. Pre-notifica al CSIRT Italia senza ingiustificato ritardo, e comunque entro 24 ore dalla conoscenza dell’incidente significativo, indicando ove possibile se derivi da atti malevoli. Notifica entro 72 ore, con una valutazione iniziale di gravità e impatto e, se disponibili, gli indicatori di compromissione. Relazione finale entro un mese, con descrizione dell’incidente, causa originaria e misure di attenuazione. Lo stesso articolo definisce significativo l’incidente che ha causato, o è in grado di causare, una grave perturbazione operativa o perdite finanziarie, oppure ripercussioni considerevoli su terzi. A nostro giudizio un furto di credenziali della directory da un server di stampa può rientrare in questa definizione: l’impatto potenziale riguarda l’intera identità digitale dell’ente, e la norma chiede di valutare l’idoneità a causare il danno, non solo il danno già prodotto.

Le misure di gestione del rischio dell’articolo 24, comma 2, del decreto (che riprende l’articolo 21 della direttiva) contengono tre elementi che questa vicenda mette alla prova. La lettera i) affianca le politiche di controllo dell’accesso alla “gestione dei beni e degli assetti”: un inventario che non comprende il server PaperCut, o lo classifica come periferica, non permette di valutare il rischio. La lettera d) impone la sicurezza della catena di approvvigionamento, compresi i rapporti con i diretti fornitori e fornitori di servizi, e il comma 3 chiede di considerare le vulnerabilità specifiche di ciascun fornitore: se il sistema è gestito da terzi, il contratto deve prevedere tempi per le patch di emergenza, accesso ai log e obblighi di comunicazione in caso di incidente. Le stesse politiche di controllo dell’accesso implicano che l’account di servizio usato da PaperCut verso la directory abbia privilegi di sola lettura sugli attributi necessari, e non sia un account amministrativo riutilizzato.

Le scuole del primo e del secondo ciclo, che di norma non svolgono attività di ricerca, restano in gran parte fuori dal perimetro NIS2. Non restano fuori dal problema. PaperCut è diffuso negli istituti scolastici perché gestisce quote di stampa per studenti e docenti, e gli istituti operano con risorse di sicurezza minime, spesso senza un referente tecnico interno. In questi contesti la responsabilità di fatto ricade sul fornitore delle multifunzione e sull’ufficio tecnico della scuola, che raramente ha visibilità sulla configurazione del server. È qui che le indicazioni operative contano più delle norme.

Raccomandazioni operative e domande da porre al fornitore

Per chi gestisce direttamente il sistema:

• Applicare la Emergency Patch Release 3 (o la versione corrente, per le versioni precedenti alla 24) e non considerare risolutive le patch precedenti.
• Rimuovere l’esposizione diretta a internet dell’Application Server. Se la stampa via web dall’esterno è necessaria, pubblicarla attraverso un reverse proxy con restrizioni e autenticazione a monte.
• Cercare nei log e sui dispositivi gli indicatori descritti sopra, con priorità a pc-app.exe come processo padre di interpreti di comandi e ai file pcp_*.txt .
• Trattare ogni istanza esposta come potenzialmente compromessa fino a prova contraria. In presenza di evidenze, ricostruire il server e ruotare tutte le credenziali note al sistema.
• Ridurre i privilegi dell’account di servizio verso Active Directory o LDAP e verificare che non sia condiviso con altri sistemi.
• Inserire il server di stampa nell’inventario delle risorse con la classificazione corretta: sistema con accesso alla directory, non periferica.

Per chi si affida a un fornitore esterno, le domande da porre per iscritto sono cinque:

1. Il server PaperCut è raggiungibile da internet? Su quali porte e indirizzi?
2. Quale versione e quale patch di emergenza sono installate, e in che data sono state applicate?
3. I log del server e le directory di PaperCut sono stati verificati rispetto agli indicatori pubblicati dal produttore e da Arctic Wolf? Con quale esito?
4. Con quale account il server si collega alla directory dell’istituto, e quali privilegi ha quell’account?
5. In caso di compromissione, quali tempi e modalità di comunicazione prevede il contratto?

Le risposte a queste domande dicono più di qualsiasi certificazione. E ricordano che il percorso più breve verso il dominio raramente passa dai sistemi che tutti considerano critici; passa da quelli che nessuno pensa di guardare.