CISA mette PaperCut nel KEV e AWS corregge una RCE critica in OpenSearch

🛡️ Executive Summary

• CISA inserisce CVE-2026-81578 e CVE-2026-82078 nel KEV dopo la conferma di attacchi reali contro server PaperCut NG e MF.
• Le due falle possono essere concatenate per modificare configurazioni senza autenticazione ed eseguire bytecode Java nel processo PaperCut.
• AWS corregge CVE-2026-83497 nel plugin SQL di OpenSearch: un utente autenticato con semplici permessi di lettura può ottenere esecuzione di codice.

CISA chiude il cerchio sull’emergenza PaperCut inserendo CVE-2026-81578 e CVE-2026-82078 nel catalogo delle vulnerabilità sfruttate attivamente, pochi giorni dopo la conferma degli attacchi e la pubblicazione di una seconda patch d’emergenza. Nelle stesse ore AWS segnala una vulnerabilità critica differente nel plugin SQL di OpenSearch: CVE-2026-83497 consente a un utente remoto autenticato, dotato anche soltanto di normali permessi di lettura e ricerca, di inviare un parametro cursor appositamente costruito ed eseguire codice arbitrario sul server. I due casi riguardano prodotti e vettori differenti, ma convergono sulla stessa priorità operativa: PaperCut deve essere trattato come già sotto attacco, mentre le installazioni OpenSearch vulnerabili richiedono aggiornamento immediato perché AWS non indica workaround alternativi.

CISA inserisce le due falle PaperCut nel catalogo KEV

CISA ha aggiunto il 31 agosto 2026 CVE-2026-81578 e CVE-2026-82078 al Known Exploited Vulnerabilities Catalog sulla base di prove di sfruttamento reale. La prima è una vulnerabilità di missing authentication for critical function nell’interfaccia di gestione di PaperCut NG e MF e permette a un attaccante remoto non autenticato di modificare determinate configurazioni del sistema. La seconda riguarda invece un meccanismo di unsafe reflection: se l’attaccante riesce a manipolare i parametri di configurazione, può indurre PaperCut a selezionare classi Java controllate esternamente ed eseguire bytecode arbitrario presente nel classpath dell’applicazione con i privilegi del processo server. È la concatenazione delle due vulnerabilità a rendere particolarmente pericolosa la catena: CVE-2026-81578 può fornire la modifica di configurazione necessaria a raggiungere CVE-2026-82078, trasformando una falla di autenticazione in un percorso verso l’esecuzione di codice. L’ingresso nel KEV non rappresenta una nuova vulnerabilità, ma certifica che il rischio non è più teorico e impone alle organizzazioni di trattare queste CVE con priorità superiore rispetto alle normali code di patching.

PaperCut aveva già distribuito due patch d’emergenza

Il bollettino ufficiale di PaperCut assegna a CVE-2026-82078 un punteggio CVSS 4.0 di 9,4, classificandola come critica, e conferma che la vulnerabilità riguarda il caricamento dinamico delle classi nelle utility di connessione al database. CVE-2026-81578 colpisce invece i controlli di accesso dell’interfaccia amministrativa. Il vendor aveva inizialmente distribuito una prima patch d’emergenza, ma l’analisi successiva aveva evidenziato percorsi capaci di aggirare la correzione, rendendo necessaria Emergency Patch Release 2. La situazione era già emersa nell’analisi sulle vulnerabilità PaperCut e sul secondo intervento d’emergenza, quando gli attacchi erano stati osservati in ambienti reali ma le due CVE non erano ancora entrate nel KEV. L’aggiunta di CISA conferma quindi la necessità di applicare la seconda patch anche sulle installazioni che avevano già ricevuto la prima.

Leggi anche: cPanel espone gli account al root e PaperCut conferma attacchi zero-day contro NG e MF

La priorità non è soltanto patchare ma cercare eventuali compromissioni

L’inserimento nel KEV modifica anche l’approccio alla risposta. Un sistema PaperCut esposto durante la finestra di sfruttamento non dovrebbe essere considerato automaticamente sicuro soltanto perché è stato aggiornato successivamente. CISA collega le nuove aggiunte alle indicazioni della BOD 26-04, che rafforza un modello di vulnerability management basato sul rischio e prevede, per determinate vulnerabilità ad alto impatto, anche attività di forensic triage destinate a verificare se il sistema sia stato compromesso prima dell’applicazione della patch. Per gli amministratori PaperCut questo significa controllare accessi anomali alla console, modifiche inattese alla configurazione, nuove classi o componenti caricati, processi Java sospetti, connessioni verso infrastrutture sconosciute e alterazioni avvenute durante il periodo precedente alla correzione. Le console di amministrazione non dovrebbero inoltre essere raggiungibili indiscriminatamente da Internet. PaperCut era già stato sfruttato nel 2023 attraverso CVE-2023-27350 da gruppi cybercriminali e attori statali, dimostrando quanto i server di gestione della stampa possano diventare un punto d’ingresso interessante perché combinano accesso enterprise, privilegi elevati e presenza all’interno di reti con numerosi utenti.

AWS corregge una deserializzazione Java nel plugin SQL di OpenSearch

Parallelamente all’allarme CISA, AWS ha pubblicato il bollettino 2026-092-AWS relativo a CVE-2026-83497, vulnerabilità di unrestricted Java deserialization nella paginazione tramite cursore del plugin SQL di OpenSearch. L’attacco richiede un utente remoto autenticato, ma il livello di privilegio necessario è particolarmente basso: secondo AWS sono sufficienti permessi basilari di lettura e ricerca. Un parametro cursor appositamente costruito inviato all’endpoint plugins/sql può raggiungere la deserializzazione Java e portare all’esecuzione di codice arbitrario sul server. Per le distribuzioni open source self-managed sono vulnerabili le versioni del plugin SQL da OpenSearch 2.8 fino alla linea 3.6; le correzioni sono disponibili nelle versioni 2.19.6 e 3.7. AWS raccomanda di aggiornare alla release più recente e di verificare anche eventuali fork o derivazioni del codice che potrebbero avere ereditato la stessa implementazione vulnerabile.

Amazon OpenSearch Service riceve la correzione tramite software update

Il servizio gestito Amazon OpenSearch Service presenta una situazione differente. AWS indica come interessate le versioni 2.9 fino alla 3.5, ma precisa che il problema è stato corretto attraverso un service software update senza rendere necessario l’upgrade della versione del motore. Gli amministratori possono applicarlo dalla console selezionando il dominio e accedendo a Actions > Service Software Version > Update; i domini configurati per gli aggiornamenti automatici riceveranno invece la correzione durante la successiva finestra off-peak. È importante notare che AWS non fornisce workaround: per le installazioni self-managed l’upgrade del plugin resta quindi la soluzione indicata. OpenSearch aveva già attraversato un ciclo molto intenso di correzioni ad agosto: un precedente aggiornamento AWS aveva risolto una RCE nel TSVB di OpenSearch Dashboards e uno stored XSS, mentre un’altra vulnerabilità nel plugin SQL consentiva di aggirare i controlli applicati alle query asincrone.

Continua con:

• CISA e AWS affrontano exploit in Langflow, N-central, Tomcat, AgentCore e Kiro
• SharePoint e SAP sotto attacco, AWS corregge OpenSearch e SDK

PaperCut è già sotto attacco, OpenSearch non può aspettare la prova dello sfruttamento

La distinzione operativa tra i due casi è netta. Per PaperCut esiste già evidenza di sfruttamento, CISA ha inserito entrambe le vulnerabilità nel KEV e il vendor ha dovuto aggiornare la propria risposta con una seconda patch dopo il bypass della prima. Le organizzazioni devono quindi combinare aggiornamento e ricerca retrospettiva di eventuali compromissioni. Per CVE-2026-83497 in OpenSearch, il bollettino AWS documenta invece una vulnerabilità tecnicamente sufficiente a ottenere RCE da un account dotato di privilegi minimi, ma non dichiara uno sfruttamento attivo osservato in natura. Questa differenza non riduce l’urgenza della correzione: una vulnerabilità di deserializzazione raggiungibile da utenti con normali permessi di ricerca restringe drasticamente la distanza tra un account applicativo compromesso e il controllo del server OpenSearch. Nel primo caso il patching arriva dopo che gli attaccanti hanno già iniziato a muoversi; nel secondo serve precisamente a evitare che accada la stessa cosa.