Huntress ha confirmado la explotación activa de la vulnerabilidad de PaperCut, un fallo crítico de ejecución remota de código. La firma reprodujo la cadena de ataque completa contra un servidor sin parche y detectó actividad real en dos clientes.
PaperCut reconocía la campaña el pasado 27 de agosto. El software de gestión de impresión, presente en hospitales, universidades y oficinas, arrastra dos fallos encadenados: el primero permite manipular la configuración sin credenciales y el segundo ejecuta código Java arbitrario en el servidor.
Anatomía de una ejecución remota sin autenticación
El punto de partida es un error de autorización tan simple como demoledor. Un atacante envía una petición manipulada para que el servidor muestre una página mientras ejecuta acciones de otra. PaperCut comprueba los permisos de la página mostrada, no de la acción. El fallo, identificado como CVE-2026-81578, permite cambiar la configuración del sistema sin iniciar sesión.
Ese acceso se combina con una segunda vulnerabilidad, CVE-2026-82078, en las utilidades de base de datos. El mecanismo carga clases Java no seguras y abre la puerta a la ejecución de código arbitrario con los privilegios del servidor. La explotación no requiere autenticación previa, lo que eleva el riesgo para cualquier instalación expuesta a internet.
Los forenses de Huntress encontraron un archivo de clase malicioso depositado directamente en el directorio de instalación de PaperCut. El artefacto ejecutaba comandos, guardaba la salida en un archivo temporal y después eliminaba tanto la evidencia como el registro del servidor. Solo sobrevivió una migaja: una entrada en Derby con la cadena jdbc:derby:memory:pwn, hoy marcada como indicador de compromiso de alta confianza.
La explotación sin autenticación en un servidor de impresión equivale a una puerta de servicio sin cerradura.
Los ataques reales observados parecían casi discretos frente a la gravedad del fallo. Un incidente duró menos de dos minutos, con comandos como whoami y ver; el segundo añadió tasklist para enumerar procesos. Huntress no detectó malware secundario ni persistencia, pero tampoco lo descarta: se trata de un reconocimiento clásico, el tipo de actividad que precede a algo peor.
La cadena reconstruida en laboratorio lo demostró.
La carrera del parche y el 47% que sigue expuesto
El parcheo de PaperCut no es lineal. La empresa publicó primero un parche de emergencia y, menos de 24 horas después, una segunda actualización tras pruebas adicionales. Las correcciones para la rama 24 seguían en desarrollo cuando Huntress cerró su informe. El segundo ataque confirmado golpeó precisamente un servidor con esa versión, antes de que existiera arreglo.
El dato que más me preocupa es de alcance, y se lo resumo para que usted lo dimensione: alrededor del 47% de las 2.500 instalaciones monitorizadas por Huntress ejecuta todavía la versión 23 o anterior, y para esas ramas no hay parche disponible. Son sistemas que gestionan colas de impresión en redes corporativas y educativas, muchos de ellos accesibles desde internet. No es una anomalía; es un patrón conocido en infraestructura desatendida.
Tengo claro qué haría yo si tuviera un servidor PaperCut expuesto: retirarlo de internet ahora mismo y limitar el acceso por VPN o red interna de confianza. Pero le adelanto que el parche, cuando exista, no debería ser el final de su respuesta. Si el equipo ha estado accesible en las últimas semanas, el parche es el inicio de una investigación forense.
Los registros hay que guardarlos antes de reiniciar.
Huntress recomienda conservar los logs y la configuración, comprobar si pc-app.exe lanzó un intérprete de comandos o herramientas como tasklist y buscar archivos .class inesperados en el directorio lib. En la prueba de laboratorio, la explotación provocó que el Application Server lanzara charmap.exe con privilegios SYSTEM, el nivel más alto en Windows. La ejecución remota no se queda en la impresión; compromete el sistema operativo anfitrión.
Dossier Moncloa: Ojos en la Sombra
He seguido de cerca la evolución de los ataques contra infraestructura de impresión desde la campaña PrintNightmare. Lo que diferencia este caso es la combinación de dos fallos encadenados en una pieza de software tan ubicua como PaperCut. El vector es ciberataque puro: ejecución remota de código sin autenticación, con indicadores de reconocimiento y sin atribución conocida por ahora.
En el plano de las agencias implicadas, aquí no hay Estado detrás confirmado: el atacante es desconocido y la atribución técnica no tiene respaldo cruzado público. Huntress y el equipo de PaperCut actúan como defensores; el CCN-CERT, en España, debería monitorizar el indicador jdbc:derby:memory:pwn en redes del sector público. Terceros interesados son los fabricantes de EDR y los CERT nacionales que dependen de software de gestión de impresión en hospitales y organismos.
En España, el patrón me resulta conocido: administraciones y universidades arrastran versiones antiguas de software de impresión por pura inercia presupuestaria. No me sorprendería encontrar PaperCut 23 en algún organismo público, y esa es exactamente la superficie que un actor con paciencia buscaría.
El precedente importa. En 2023, otra vulnerabilidad de PaperCut fue explotada activamente para desplegar ransomware en centros educativos y sanitarios. Aquel episodio demostró que una cola de impresión mal parcheada puede ser la primera ficha de un dominó más amplio. No es una hipérbole de la industria: es el recordatorio de que los sistemas de impresión son difíciles de securizar y fáciles de olvidar.
Mi lectura confidencial es que el 47% no es solo una estadística de Huntress. Es el retrato de una infraestructura gestionada por inercia, donde las actualizaciones llegan tarde y los registros se borran pronto. Reconozco que la atribución en ciberguerra es resbaladiza; hoy no puedo señalar a un actor. Pero sí puedo afirmar que el reconocimiento activo contra dos clientes, sumado a la reconstrucción en laboratorio, convierte este aviso en un aviso serio.
El siguiente hito no es opcional: la publicación de los parches para la rama 23 y las guías oficiales de compromiso. Hasta entonces, la orden es clara para cualquier responsable de sistemas: saquen PaperCut de internet, si aún pueden.
