'PaperCut NG/MF ข้ามการยืนยันตัวตน CVE-2026-81578 ถูกโจมตีจริง'
'ผู้ดูแลระบบ PaperCut NG/MF ที่ยังไม่แพตช์ควรจำกัดการเข้าถึงและอัปเกรดทันที เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว'
1-minute summary
- Symptom / problem
- ผู้โจมตีจากระยะไกลที่ไม่ผ่านการยืนยันตัวตนสามารถแก้การตั้งค่าระบบบางอย่าง และใช้ร่วมกับอีกช่องโหว่เพื่อรันโค้ดได้
- Who should read
- ผู้ดูแลระบบที่รับผิดชอบ PaperCut NG หรือ PaperCut MF รุ่นที่ยังไม่ได้รับการแก้ไข
- Fix in short
- อัปเกรดเป็น 24.1.10, 25.0.13 หรือ 26.0.5 ตามสายรุ่น หรือรุ่นใหม่กว่าที่รวมแพตช์ และจำกัดหน้าเว็บเซิร์ฟเวอร์ให้เข้าถึงได้จาก IP ที่เชื่อถือเท่านั้น
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-81578 ใน PaperCut NG/MF ซึ่งเป็นระบบจัดการงานพิมพ์ ประเด็นนี้ทำให้คนที่ยังไม่ล็อกอินแก้ค่าระบบบางอย่างผ่านหน้าเว็บจัดการได้ และถูกนำไปโจมตีจริงแล้ว CISA เพิ่มเข้าบัญชีเมื่อ 31 สิงหาคม 2026 พร้อมกำหนดวันแก้ไขไว้ที่ 14 กันยายน 2026 ตาม ข้อมูล KEV ของ CISA
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าดูแล PaperCut NG/MF ที่ยังไม่แพตช์ ให้จำกัดการเข้าถึงหน้าเว็บเซิร์ฟเวอร์และอัปเกรดทันที เพราะมีการโจมตีจริงแล้ว
เกิดอะไรขึ้น
หน้าเว็บจัดการตรวจสิทธิ์ไม่ครบก่อนเริ่มทำงาน ในบางเงื่อนไข ผู้โจมตีส่งคำขอจากระยะไกลให้ระบบทำงานส่วนของผู้ดูแลได้ แม้ยังไม่ล็อกอิน ผลคือแก้ค่าระบบบางอย่างได้ ระเบียน CVE ให้คะแนน CVSS 4.0 เท่ากับ 8.8 ระดับ High ดูรายละเอียดใน ระเบียนที่ PaperCut ส่งเข้าโครงการ CVE
ช่องโหว่นี้ใช้ร่วมกับ CVE-2026-82078 เพื่อรันโค้ดได้ อีกตัวอยู่ในส่วนเชื่อมต่อฐานข้อมูล ซึ่งโหลดคลาสโดยไม่ตรวจว่าชื่อ driver อยู่ในรายการที่อนุญาตหรือไม่ ถ้าผู้โจมตีแก้ค่าที่เกี่ยวข้องได้ ก็อาจรัน Java bytecode ที่อยู่ใน application classpath ด้วยสิทธิ์ของโปรเซส PaperCut ตาม ระเบียน CVE-2026-82078
วันเพิ่มเข้า KEV มีข้อมูลไม่ตรงกัน: KEV JSON ของ CISA ฉบับ 4 พฤศจิกายน 2026 ระบุ dateAdded ของ CVE-2026-81578 เป็น 31 สิงหาคม 2026 และ dueDate เป็น 14 กันยายน 2026 แต่ข้อมูล KEV ที่ CISA ใส่ไว้ในระเบียน CVE ระบุ dateAdded เป็น 28 สิงหาคม 2026 บทความนี้ใช้วันที่จาก KEV JSON เป็นหลัก สถานะมีการโจมตีจริงตรงกับประกาศ PaperCut
ใครโดนและรุ่นที่แก้
ระเบียน CVE ระบุช่วงที่ได้รับผลกระทบและรุ่นแก้ดังตาราง ใช้กับทั้ง PaperCut NG และ PaperCut MF โดยต้องตรวจด้วยว่ามี Emergency Patch ติดตั้งอยู่หรือไม่
| สายรุ่น / ช่วงที่ได้รับผลกระทบ | รุ่นแก้แบบ Maintenance Release |
|---|---|
| รุ่นก่อน 24.1.10 | 24.1.10 |
| ตั้งแต่ 25.0.0 แต่ก่อน 25.0.13 | 25.0.13 |
| ตั้งแต่ 26.0.0 แต่ก่อน 26.0.5 | 26.0.5 |
ข้อมูลรุ่นแก้เพิ่มเติมวันที่ 10 กันยายน 2026: Maintenance Release ทั้งสามรุ่นออกหลังวันที่ประกาศ KEV และรวมการแก้จาก Emergency Patch แล้ว ตรวจสอบได้จาก release notes ของ 24.1.10, 25.0.13 และ 26.0.5 ไม่ควรใช้เลขเวอร์ชันอย่างเดียวตัดสินสถานะของเครื่องที่ลง Emergency Patch เพราะแพตช์ฉุกเฉินใช้เลขรุ่นเดิม
ต้องทำอะไร
ตรวจรุ่นและประวัติการลงแพตช์ สำรองข้อมูลก่อนอัปเกรด แล้วเลือกตัวติดตั้งให้ตรงกับผลิตภัณฑ์และระบบปฏิบัติการ อ่าน release notes ก่อนเริ่ม โดยเฉพาะเมื่อข้ามสายรุ่น ถ้าใช้ฐานข้อมูลภายนอกค้นหาเลขบัตร ต้องตั้งค่าส่วนนั้นใหม่ใน security.properties ตามคู่มือ หลังอัปเกรดให้ตรวจรุ่นและทดสอบงานพิมพ์ รวมถึงการค้นหาเลขบัตรถ้าใช้งาน
PaperCut แนะนำให้จำกัดการเข้าถึงเว็บของ Application Server จากอินเทอร์เน็ตให้เหลือเฉพาะ IP ที่เชื่อถือ โดยใช้ firewall หรือมาตรการควบคุมเครือข่าย แม้ยังไม่พบกิจกรรมน่าสงสัย
รุ่น 23 หรือต่ำกว่าไม่มีแพตช์ในสายเดิม ต้องย้ายไปสายที่รองรับ ถ้าลง Emergency Patch Release 1 หรือ 2 ให้เร่งอัปเกรด ถ้าลง Release 3 แล้ว วางแผนย้ายไป Maintenance Release ตามรอบปกติได้ ต้องอัปเดต Site Servers และ secondary/print servers ด้วย ไม่ใช่แค่เครื่องหลัก ตรวจร่องรอยการบุกรุกตาม ประกาศ PaperCut ควบคู่กัน การลงแพตช์ไม่ได้บอกว่าเครื่องไม่เคยถูกเจาะ
ส่วนตัวผมให้เคสที่ยังไม่แพตช์เป็นงานเร่งด่วน โดยเฉพาะระบบที่เปิดเว็บจัดการสู่อินเทอร์เน็ต ที่มา: CISA KEV — CVE-2026-81578 และ PaperCut Security Bulletin เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first