PaperCut sotto attacco, GiveWP apre alla RCE e Cosmos EVM perde milioni

🛡️ Executive Summary

• PaperCut conferma lo sfruttamento di CVE-2026-81578 e CVE-2026-82078 e pubblica Emergency Patch Release 2 dopo bypass della prima correzione.
• GiveWP corregge CVE-2026-82222, catena PHP Object Injection che può eseguire comandi sul server e interessa oltre 100.000 installazioni WordPress.
• Cosmos EVM conferma attacchi contro sei blockchain con circa 5,7 milioni di dollari movimentati dopo lo sfruttamento di un balance underflow.

PaperCut ha dovuto pubblicare una seconda patch d’emergenza dopo che i ricercatori hanno trovato modi per aggirare la prima correzione delle vulnerabilità già sfruttate contro NG e MF. Nelle stesse ore GiveWP, plugin WordPress installato su oltre 100.000 siti, ha corretto una catena capace di arrivare all’esecuzione di comandi sul server, mentre Cosmos Labs ha confermato che una vulnerabilità critica di Cosmos EVM è stata utilizzata contro sei blockchain tra il 20 e il 25 agosto. I tre casi hanno tecnologie differenti, ma condividono lo stesso problema operativo: una falla applicativa diventa rapidamente un percorso verso RCE, controllo dei sistemi o sottrazione diretta di fondi.

PaperCut pubblica una seconda patch dopo i bypass della prima correzione

La situazione più urgente riguarda PaperCut NG e MF. Il vendor ha ora identificato le vulnerabilità come CVE-2026-81578, authentication bypass con CVSS 8.8, e CVE-2026-82078, unsafe dynamic class loading con CVSS 9.4. La prima permette a richieste non autenticate di raggiungere determinate funzioni amministrative prima del completamento dei controlli di accesso; una volta modificata la configurazione, la seconda può essere sfruttata per caricare ed eseguire bytecode Java arbitrario nel processo PaperCut. Gli attaccanti stanno concatenando le due falle per ottenere RCE senza credenziali, scenario confermato in almeno due ambienti monitorati da Huntress. PaperCut ha quindi distribuito Emergency Patch Release 2 per PaperCut NG e MF, chiedendo di installarla anche a chi aveva già applicato la prima patch. Release 2 copre le versioni 24, 25 e 26 su Windows, Linux e macOS; le installazioni 23 o precedenti devono essere aggiornate. Il precedente è pesante: nel 2023 Bl00dy ransomware aveva già sfruttato una falla PaperCut per compromettere server esposti, mostrando quanto rapidamente questa piattaforma possa trasformarsi in un punto d’ingresso enterprise.

Gli attacchi PaperCut fanno ricognizione e cancellano i log

Le prime attività post-exploitation osservate includono comandi come whoami, ver e tasklist, utilizzati per identificare account, sistema operativo e processi in esecuzione. Gli aggressori hanno anche caricato file Java .class codificati che funzionano come ponte tra PaperCut e il sistema operativo, consentendo lettura e scrittura dei file. Alcuni campioni cancellano successivamente server.log e derby.log, riducendo le tracce forensi. PaperCut raccomanda quindi di cercare attività sospette originate da pc-app.exe, log mancanti o troncati ed errori relativi a jdbc:no:x e Database error looking up cardID. Le interfacce Web devono inoltre essere rimosse dall’esposizione pubblica e limitate a IP fidati. Il ritorno di PaperCut nel mirino si inserisce nella più ampia offensiva contro applicazioni enterprise esposte: SharePoint è stato recentemente colpito subito dopo la pubblicazione di un PoC, mentre ServiceNow ha corretto una RCE pre-auth capace di trasformare una sandbox escape in compromissione del server.

Leggi anche: CISA amplia il KEV mentre Cisco e SharePoint espongono nuove catene d’attacco

GiveWP trasforma una donazione WordPress in esecuzione di comandi

Sul fronte WordPress, CVE-2026-82222 interessa GiveWP fino alla versione 4.16.7.1 e combina tre debolezze: deserializzazione PHP non sicura, memorizzazione di oggetti controllabili dall’attaccante durante il processo di donazione e una gadget chain nelle librerie incluse nel plugin. L’attacco richiede formalmente un account, ma GiveWP espone anche un’azione di registrazione che può permettere la creazione di un utente persino quando la normale registrazione WordPress è disabilitata. L’aggressore può quindi memorizzare un oggetto PHP malevolo, farlo arrivare nella tabella delle sessioni e provocarne successivamente la deserializzazione, ottenendo esecuzione di comandi sul server. La ricerca originale di Patchstack sulla catena RCE di GiveWP indica come corretta la versione 4.16.7.2, che blocca i payload serializzati e ripulisce quelli già presenti nel database. Il problema interessa in particolare installazioni aggiornate che conservano vecchi donation form. È una superficie già molto battuta: Elementor Pro ha recentemente corretto una RCE senza login attraverso l’upload dei form e Forminator ha esposto altri siti WordPress attraverso vulnerabilità critiche.

Cosmos EVM conferma furti su sei blockchain

Il terzo incidente coinvolge direttamente la blockchain. Cosmos Labs ha pubblicato il post-mortem di GHSA-7g4w-cg88-2cq2, vulnerabilità critica nel modo in cui Cosmos EVM riconcilia il saldo dell’EVM StateDB con il modulo x/bank di Cosmos SDK. In determinate condizioni un vesting account può delegare più del saldo spendibile visibile allo StateDB, provocando un integer underflow non controllato che porta il balance verso un valore prossimo a 2²⁵⁶. L’attaccante può quindi movimentare fondi che non dovrebbe possedere o manipolare la riconciliazione di altri account. Secondo il post-mortem ufficiale del team Cosmos, la vulnerabilità è stata sfruttata tra 20 e 25 agosto su sei reti, con circa 2,87 milioni di dollari scambiati attraverso DEX e altri 2,85 milioni movimentati su exchange centralizzati. Gli account CEX utilizzati dagli attaccanti risultano congelati durante l’indagine. Sono vulnerabili le versioni precedenti alla 0.6.2 e quelle dalla 0.7.0 alla 0.7.1; le patch sono nelle release 0.6.2 e 0.7.2. Il caso arriva in una fase nella quale gli exploit DeFi continuano a sfruttare errori economici e di stato oltre alle classiche RCE e CryptoJS ha recentemente mostrato quanto una debolezza nelle primitive utilizzate dai wallet possa trasformarsi in rischio finanziario diretto.

Continua con:

• WordPress, Fortinet, AWS e OpenSSL colpiti da nuove vulnerabilità critiche
• Ransomware e supply chain sfruttano SharePoint, SonicWall, ClamAV e WordPress

PaperCut va aggiornato due volte, GiveWP e Cosmos non possono aspettare

La priorità operativa è netta. PaperCut NG/MF deve ricevere Emergency Patch Release 2 anche se la prima correzione è già installata, e le console amministrative non devono restare pubblicamente raggiungibili. GiveWP deve essere portato almeno alla 4.16.7.2, verificando soprattutto installazioni che conservano form legacy e cercando oggetti PHP o attività anomale nelle sessioni. Gli operatori Cosmos EVM devono invece aggiornare alle versioni 0.6.2 o 0.7.2 e successive; il progetto stesso raccomanda di fermare la chain quando non sia possibile eseguire rapidamente l’upgrade coordinato. In tutti e tre i casi il problema non è più soltanto teorico: PaperCut e Cosmos hanno già evidenze di sfruttamento reale, mentre GiveWP espone una catena tecnicamente sufficiente a trasformare un normale sito di raccolta fondi in accesso al server.