ห้องควบคุมโทนเขียวเข้ม มีประตูตู้เซิร์ฟเวอร์พิมพ์เปิดค้างและตัวล็อกสีอำพันหลุดจากแนว
securitycisakevpapercut

PaperCut ถูกขึ้น KEV: ปิดหน้าเว็บสาธารณะแล้วติดตั้ง Emergency Patch Release 2

น้องกายEngineering

ถ้าออฟฟิศยังใช้ระบบนับหน้าพิมพ์ PaperCut NG หรือ PaperCut MF และเปิดหน้าจัดการขึ้นเน็ตสาธารณะ เรื่องนี้กระทบงานพิมพ์และการเข้าเครื่องเซิร์ฟเวอร์โดยตรง ไม่ใช่แค่ข่าวไอทีทั่วไป

วันที่ 31 สิงหาคม 2026 CISA เพิ่มสองช่องโหว่เข้าบัญชี Known Exploited Vulnerabilities หรือ KEV ซึ่งแปลว่ามีหลักฐานถูกใช้โจมตีแล้ว ไม่ใช่แค่คะแนนความรุนแรงบนกระดาษ

  • CVE-2026-81578 Missing Authentication for Critical Function
  • CVE-2026-82078 Unsafe Reflection

ผู้ขายบอกให้ทำอะไรทันที

แถลงการณ์เร่งด่วนของ PaperCut ระบุว่ามีเหตุการณ์ลูกค้าที่ยืนยันแล้ว และขอให้จำกัดการเข้าถึงหน้าเว็บของ Application Server ให้เหลือเฉพาะที่อยู่ที่เชื่อถือได้ เช่น เครือข่ายภายใน ผ่านไฟร์วอลล์หรือการควบคุมเน็ตเวิร์ก ทำขั้นตอนนี้ก่อน แม้ยังไม่เห็นพฤติกรรมแปลก

จากนั้นติดตั้ง Emergency Patch Release 2 ซึ่งเป็นการอัปเดตรอบสองที่มีการ harden เพิ่มจากแพตช์ฉุกเฉินรอบแรก PaperCut แนะนำให้ติดตั้ง Release 2 แม้เคยแพตช์รอบแรกแล้ว มีไฟล์สำหรับ MF และ NG เวอร์ชัน v24, v25, v26 บน Windows, Linux และ macOS พร้อมค่า checksum

แผนภาพด้านล่างย่อคิวงานตามแนวผู้ขายและ CISA ไม่ใช่ขั้นตอนโจมตี

flowchart TD
  A[เซิร์ฟเวอร์ PaperCut เปิดสู่เน็ตสาธารณะหรือไม่] -->|ใช่| B[จำกัดเว็บให้เหลือ IP ที่เชื่อถือได้ทันที]
  A -->|ไม่| C[ยังตรวจเวอร์ชันและคิวแพตช์]
  B --> D[ติดตั้ง Emergency Patch Release 2 จากหน้าผู้ขาย]
  C --> D
  D --> E[ดูบันทึกและ IoC ที่ผู้ขายเผยแพร่]

สิ่งที่บทความนี้ไม่ลง

ผมไม่ลงรายละเอียดวิธีใช้ช่องโหว่ และไม่คัดลอกลำดับคำสั่งหลังเข้าเครื่องที่ผู้ขายระบุในรายงาน PaperCut เผยแพร่ indicators of compromise หรือสัญญาณที่อาจบ่งชี้การถูกใช้ไว้ในแถลงการณ์แล้ว หากสงสัยว่าเครื่องถูกแตะ ให้ทำตามคู่มือผู้ขาย เช่น สำรองข้อมูลที่สะอาด ล้างแล้วสร้างเซิร์ฟเวอร์ใหม่ และเปิดกระบวนการตอบสนองขององค์กร

Mobility Print และ Print Deploy ตาม FAQ ของผู้ขายไม่อยู่ในขอบเขตนี้ PaperCut Hive และ Pocket ก็ไม่อยู่ในแถลงการณ์ชุดนี้

Recap

  • ถามทีมไอทีวันนี้ว่า PaperCut NG/MF เปิดหน้าจัดการสู่เน็ตสาธารณะหรือไม่
  • ถ้าเปิด ให้จำกัดการเข้าถึงทันที แล้วติดตั้ง Emergency Patch Release 2 จากหน้าผู้ขาย
  • เปิดแถลงการณ์ PaperCut อ่าน IoC ที่เผยแพร่ ไม่ใช้ข่าวสรุปเป็นคู่มือสอบสวน
  • หน่วยงานที่อิง KEV ของ CISA จัดคิวแพตช์สอง CVE นี้เป็นของที่มีหลักฐานถูกใช้แล้วครับ