KMO-IMPACT: DRINGEND
Heeft uw kantoor of MSP nog een PaperCut NG- of MF-Application Server online? Upgrade die vóór zondag 14 september 2026 naar een vaste maintenance release. PaperCut bevestigt actief misbruik; CISA zet beide lekken op de Known Exploited Vulnerabilities-lijst met die deadline.
Wat is er mis met PaperCut NG en MF
PaperCut publiceerde op 27 augustus 2026 een spoedbulletin voor alle versies van PaperCut NG en PaperCut MF. Er zijn twee publieke CVE’s:
- CVE-2026-81578 — authenticatiebypass: onder bepaalde voorwaarden kan een onbevoegde aanvaller via het webbeheer configuratie wijzigen (CVSS 8.8).
- CVE-2026-82078 — onveilige class loading in database-connectoren: wie configuratie kan manipuleren, kan Java-bytecode op de classpath laten draaien onder het PaperCut-proces (CVSS 9.4). De twee lekken zijn combineerbaar.
PaperCut meldt bevestigde incidenten bij klanten. Aanvallers die binnenkwamen, zetten onder meer remote-access tools (waaronder SimpleHelp als “Remote Access Service” en AnyDesk) en wisten soms serverlogs te wissen. PaperCut Hive en PaperCut Pocket vallen buiten dit bulletin.
Welke build moet u hebben
Op 10 september 2026 (14:00 AEST) verschenen de officiële security maintenance releases. Die vervangen alle eerdere emergency patches:
- PaperCut NG/MF 26.0.5
- PaperCut NG/MF 25.0.13
- PaperCut NG/MF 24.1.10
Voor versie 23 of ouder is er geen patch: u moet eerst naar een ondersteunde lijn (24, 25 of 26) upgraden. Site Servers en secundaire printservers moeten mee; Mobility Print- en Print Deploy-clients zijn niet getroffen.
CISA eist remediatie vóór zondag 14 september 2026 voor federale Amerikaanse agentschappen; voor een Vlaamse kmo is dat een harde praktisch deadline als uw Application Server bereikbaar is of was vanaf het internet.
Wat betekent dit voor uw onderneming?
Voor wie: bedrijven, scholen, overheden en MSP’s met on-prem PaperCut NG of MF (Application Server), zeker als het webbeheer ooit publiek of breed bereikbaar was.
Vanaf wanneer: actief misbruik al bevestigd; CISA-deadline zondag 14 september 2026.
Financiële impact: geen vaste boete in de bron; wel risico op volledige overname van de printserver, laterale beweging in het netwerk en herstelkosten na compromise.
Wat moet u doen: upgrade naar 26.0.5, 25.0.13 of 24.1.10; beperk webtoegang tot vertrouwde IP’s tot de patch staat; update Site Servers; check IoC’s (o.a. service “Remote Access Service” / SimpleService.exe, onverwachte AnyDesk, verdachte entries in server.log).
Deadline: zondag 14 september 2026 (CISA KEV).
Nog niet duidelijk: of uw specifieke installatie al is geraakt — afwezigheid van bekende IoC’s is geen vrijgeleide; bij twijfel: clean rebuild vanaf backup van vóór verdachte activiteit.
