Faille PaperCut exploitée (CVE-2026-82078) : votre serveur d'impression est-il concerné ?

En résumé. PaperCut a corrigé en urgence deux failles de son serveur d'impression NG/MF, que des attaquants exploitent déjà. Si ce logiciel tourne chez vous, le correctif se pose aujourd'hui, pas au prochain créneau de maintenance.

Ce qui s'est passé

Le 27 août 2026, l'éditeur PaperCut a diffusé un bulletin de sécurité qualifié d'urgent. Il corrige deux vulnérabilités qui se combinent : CVE-2026-81578 permet de contourner l'authentification, CVE-2026-82078 d'exécuter du code à distance sur le serveur. L'éditeur annonce un score CVSS de 9,4 sur 10 pour la seconde.

Le point qui change tout : PaperCut indique que ces failles sont activement exploitées. Ce n'est pas une découverte de laboratoire. Les équipes de Huntress et de Rapid7 ont documenté des exploitations réelles dès le 28 août. Le CERT-FR a publié son avis le même jour, sous la référence CERTFR-2026-AVI-1095, puis l'a mis à jour le 31 août avec de nouveaux indicateurs de compromission.

Sont concernées toutes les versions de PaperCut MF et NG antérieures aux branches 24, 25 et 26 qui n'ont pas reçu le correctif temporaire de l'éditeur. Ce correctif bloque les requêtes SQL contenant les instructions EXEC, EXECUTE ou CALL lors des recherches de numéro de carte depuis une base externe.

Suis-je concerné ?

PaperCut gère et facture les impressions. On le retrouve beaucoup dans les PME et ETI multi-sites, les collectivités, les établissements scolaires, les cabinets comptables ou juridiques. Il a souvent été installé il y a plusieurs années par le prestataire copieurs, puis oublié. C'est ce profil qui pose problème : un serveur Windows qui tourne dans son coin, rarement mis à jour, parfois publié sur Internet pour permettre l'impression depuis l'extérieur.

Deux questions suffisent à trancher.

Est-ce qu'on l'a ? Le service s'appelle PaperCut Application Server et son processus porte le nom pc-app.exe. Votre prestataire d'impression ou votre infogéreur peut répondre en deux minutes.

Est-il joignable depuis l'extérieur ? La console d'administration écoute par défaut sur les ports 9191 et 9192. Si l'un des deux répond depuis Internet, considérez le serveur comme exposé et passez le sujet en tête de liste.

Si PaperCut n'est pas déployé chez vous, cette alerte ne vous concerne pas. Elle reste un bon test : savoir répondre en quelques minutes à « est-ce que ce logiciel tourne chez nous ? », c'est la vraie question que pose chaque bulletin de ce type.

Que faire maintenant

1. Poser le correctif de l'éditeur. Il est disponible depuis le 27 août pour les branches 24, 25 et 26. Action prioritaire, avant toute analyse.
2. Fermer l'exposition si le correctif doit attendre. PaperCut recommande de restreindre l'accès au serveur applicatif à des adresses IP de confiance, par règle de pare-feu. Profitez-en pour retirer toute publication directe sur Internet : l'impression à distance passe mieux par un VPN.
3. Chercher les traces. Le CERT-FR relaie plusieurs indicateurs : activité anormale du processus pc-app.exe, fichiers server.log manquants, tronqués ou supprimés, et la présence des motifs ERROR No suitable driver found for jdbc:no:x ou ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST dans ces journaux. L'éditeur précise que leur absence ne prouve rien. En cas de doute, traitez l'événement comme un incident et faites-vous accompagner.

Ce raisonnement vaut au-delà de PaperCut. Une faille mérite l'urgence quand elle réunit trois conditions : elle est exploitée dans la nature, elle ne demande pas d'authentification préalable, et le service concerné est joignable depuis l'extérieur. PaperCut coche les trois cases cette semaine. La grande majorité des CVE qui défilent n'en cochent aucune, et peuvent attendre le cycle normal de mise à jour.

Si personne dans l'entreprise ne sait dire qui applique les correctifs sur les serveurs applicatifs, c'est le sujet de fond. Un point rapide avec un expert suffit souvent à le cadrer.

‍

‍

En bref

Deux failles PaperCut corrigées le 27 août, déjà exploitées. Si le logiciel tourne chez vous, appliquez le correctif et coupez l'exposition Internet. Sinon, rien à faire.

Une alerte de ce niveau se traite en une demi-journée quand l'inventaire est à jour et que quelqu'un a la main sur les serveurs. C'est surtout cela que la semaine vient tester.

Questions fréquentes

Nos imprimantes peuvent-elles être piratées ? La faille vise le serveur PaperCut, pas les copieurs. Le risque n'est pas l'impression mais l'accès au serveur Windows qui héberge l'application, et à ce que ce serveur peut atteindre ensuite.

Nous sommes sur Microsoft 365, sommes-nous protégés ? Non. PaperCut est une application installée sur vos propres serveurs et se met à jour indépendamment de votre environnement Microsoft.

Faut-il prévenir la CNIL ? Uniquement si vous constatez une compromission ayant touché des données personnelles. La détection vient d'abord ; la notification, si elle s'impose, dans les 72 heures.

— Samir Amara, CEO — IT Systèmes