PaperCut : deux failles enchaînées pour voler les identifiants des écoles et universités

Des attaquants exploitent deux failles de PaperCut, le logiciel de gestion d'impression déployé dans une grande partie des écoles et des universités, pour voler des identifiants. Les compromissions observées concernent des établissements américains et européens, de l'école primaire à la grande université.

L'objectif n'est pas l'impression. C'est ce que le serveur d'impression permet d'atteindre.

Deux failles enchaînées

L'attaque combine CVE-2026-81578, un contournement d'authentification, et CVE-2026-82078, une exécution de code à distance. La première ouvre la porte, la seconde permet d'agir une fois à l'intérieur.

Cet enchaînement est la forme classique des attaques les plus efficaces : aucune des deux failles ne suffirait seule à produire ce résultat, mais leur combinaison transforme un serveur exposé en point d'entrée complet. Selon The Hacker News, l'ensemble des versions de PaperCut NG et MF est concerné par cette chaîne d'exploitation.

Ce que font les attaquants une fois entrés

La séquence observée est méthodique. Les attaquants commencent par exécuter des commandes de reconnaissance pour cartographier le système. Ils créent ensuite des comptes disposant de privilèges élevés, ce qui leur assure un accès durable, indépendant de la faille initiale.

Vient enfin la récolte : extraction de clés du registre Windows et déploiement d'outils spécialisés — lsa_collect.exe est cité — pour extraire les bases SAM, où Windows stocke les empreintes des mots de passe des comptes locaux.

Ces empreintes se monnaient ou se cassent hors ligne, sans limite de tentatives et sans déclencher la moindre alerte. Et comme les mots de passe sont fréquemment réutilisés d'un service à l'autre, un identifiant volé sur un serveur d'impression ouvre souvent bien d'autres portes dans le même établissement.

Pourquoi viser précisément un serveur d'impression

Le choix de cible n'a rien d'accidentel. Un serveur d'impression occupe une position idéale pour un attaquant : il est intégré à l'annuaire de l'établissement pour authentifier les utilisateurs, il est joignable depuis l'ensemble du réseau interne puisque tout le monde doit pouvoir imprimer, et il est administré comme un équipement utilitaire plutôt que comme un actif sensible.

S'y ajoute une réalité budgétaire : dans l'éducation, l'informatique repose souvent sur des équipes réduites gérant un parc hétérogène, où les mises à jour d'un logiciel considéré comme périphérique passent après les urgences pédagogiques. C'est exactement ce qui fait d'un serveur d'impression une cible durable.

Les mesures à prendre

• Restreindre l'accès Internet aux serveurs PaperCut : un serveur d'impression n'a, dans l'immense majorité des cas, aucune raison d'être joignable depuis l'extérieur.

• Surveiller l'exécution de cmd.exe et powershell.exe lorsque le processus parent est pc-app.exe : un serveur d'impression qui lance un interpréteur de commandes est un signal d'alerte sans ambiguïté.

• Passer en revue les comptes privilégiés créés récemment, la porte dérobée la plus discrète étant un compte légitime.

• Considérer que les mots de passe locaux des serveurs touchés sont compromis, et procéder à leur renouvellement.

Cette campagne s'inscrit dans une pression continue sur le secteur éducatif, que nous avions constatée lors du piratage de l'Éducation nationale ayant dégradé la rentrée à Nantes et Toulouse.

Source

The Hacker News — « Attackers Exploit PaperCut Flaws to Steal Credentials From Schools and Universities »