PaperCut NG/MF : trois failles corrigées, les versions à vérifier

Trois vulnérabilités à distinguer

Le bulletin PaperCut, repris dans un avis du CERT-FR du 23 octobre 2026, décrit trois vulnérabilités de NG/MF, ses logiciels de gestion des impressions. L’une permet à un attaquant distant sans authentification de déclencher la création de rapports et d’accéder à des informations sensibles. Deux autres permettent une exécution de code à distance (faire exécuter des instructions sur le serveur), mais exigent déjà un accès administrateur authentifié.

PaperCut indique ne disposer d’aucune preuve d’exploitation de ces vulnérabilités. Ce constat ne dispense pas de vérifier les installations concernées.

Quelles installations sont concernées

Pour la divulgation de rapports, identifiée CVE-2026-87739, et la faille Scan-to-Fax (numérisation vers un fax), CVE-2026-82077, les versions concernées sont celles antérieures à 26.0.5, à 25.0.13 dans la branche 25 et à 24.1.10 dans la branche 24. La seconde exige un administrateur authentifié et passe par des paramètres de fournisseur de fax spécialement construits.

La faille du sous-système de scripts, CVE-2026-14780, exige également un administrateur authentifié, ainsi que l’activation de l’option Print and Device Scripting (scripts d’impression et de périphériques). Cette option est désactivée par défaut depuis la version 22.1.1. Les seuils de correction propres à cette faille sont 26.0.2, 25.0.12 et 24.1.11, selon la branche.

Pour couvrir les trois problèmes, l’éditeur recommande 26.0.5, 25.0.13 ou 24.1.11, ou une version ultérieure dans la branche correspondante. Si vous avez déjà installé ces versions, ces problèmes sont corrigés. Si aucune des conditions d’exposition ci-dessus ne s’applique à votre installation NG/MF, le bulletin n’exige aucune action pour ces failles. Ce dossier porte sur NG/MF ; le volet Hive du même bulletin concerne un autre composant.

Des correctifs déjà disponibles

Le bulletin a été publié le 24 septembre 2026, puis mis à jour le 13 octobre pour préciser les versions correctives de la branche 24. L’avis CERT-FR du 23 octobre ne constitue donc pas la date initiale de l’annonce.

La page officielle de mise à jour propose les versions recommandées pour NG et MF. Le bulletin ne fixe aucune date butoir : PaperCut recommande d’intégrer la mise à jour au cycle de maintenance.

Préparer et vérifier la mise à jour

• Identifier votre installation. Relevez l’édition et la version dans l’onglet About de l’administration, puis comparez-les aux seuils ci-dessus. Si votre installation est concernée, préparez la mise à jour recommandée.
• Préparer l’intervention. Suivez le guide officiel : sauvegarde complète et testée, licence, prérequis, problèmes connus et notes des versions traversées. Pour MF, prévenez votre revendeur agréé.
• Prévoir une interruption adaptée. Installez la version retenue dans le même emplacement que l’installation existante. N’arrêtez pas l’application pendant la mise à niveau de sa base de données.
• Coordonner les composants. Les Site Servers (serveurs de site) doivent être mis à jour en même temps que le serveur applicatif, vers la même version. Les autres composants peuvent généralement être échelonnés, sauf indication contraire des notes de version.
• Contrôler le fonctionnement après installation. Vérifiez les impressions, le suivi de l’activité et la présence des anciens journaux de travaux dans Logs puis Job Log.

Pour inscrire ces correctifs dans un suivi défini, VCSTS entretient les protections du périmètre confié, notamment les mises à jour des composants couverts.