Arctic Wolf ha detectado la explotación activa de dos vulnerabilidades de PaperCut contra colegios de Estados Unidos y Europa. Los atacantes encadenan una omisión de autenticación con ejecución remota de código para robar credenciales y crear cuentas privilegiadas en servidores de impresión corporativos expuestos a internet.
La explotación de PaperCut: dos fallos encadenados en el sector educativo
Las fallas, identificadas como CVE-2026-81578 y CVE-2026-82078, fueron reveladas por PaperCut el 27 de agosto de 2026. La primera permite saltarse el proceso de autenticación; la segunda abre la puerta a la ejecución remota de código. Según el aviso de Arctic Wolf, la actividad se ha concentrado en organizaciones educativas a ambos lados del Atlántico.
El informe técnico de Arctic Wolf es preciso: ‘Arctic Wolf ha observado la explotación de servidores de PaperCut afectados por CVE-2026-81578 y CVE-2026-82078 que ha llevado a la ejecución de comandos, el reconocimiento y los intentos de crear cuentas privilegiadas’, recoge el aviso. La combinación de ambos fallos no es casual: los adversarios buscan credenciales y persistencia, no un simple sabotaje.
Durante la fase post-explotación, los investigadores vieron la descarga de herramientas de recolección del registro de Windows, payloads Java relacionados con Metasploit/Meterpreter y comandos orientados a identificar hosts, usuarios, procesos y configuraciones sensibles. Herramientas como certutil se usaron para descargar utilidades de cosecha de credenciales; los payloads de Meterpreter establecieron sesiones remotas.
La actividad más delicada es la extracción de claves del registro para recuperar el BootKey de Windows. Con ese material, un atacante puede acceder a la base de datos SAM y a las credenciales almacenadas. Los analistas también detectaron la búsqueda de contraseñas, secretos, configuraciones LDAP y tokens en los archivos de configuración de PaperCut. Todo el arsenal apunta a una campaña de robo de identidad y movimiento lateral.
La velocidad de explotación vuelve a demostrar que una vulnerabilidad publicada es una carrera contra el tiempo: el parche llega, pero el adversario llega antes.
El caso refuerza una lección que este sector conoce bien. PaperCut, una plataforma de gestión de impresión empresarial, ya había sido explotada antes: los ataques que distribuyeron el ransomware LockBit utilizaron fallos del mismo ecosistema. Esta vez, sin embargo, no se ha confirmado ransomware. El objetivo declarado es el robo de credenciales y la elevación de privilegios, un perfil más silencioso y, a menudo, más rentable para el espionaje.
Anatomía del ataque: de Meterpreter a la base de datos SAM
CISA incluyó ambos identificadores en su catálogo de vulnerabilidades explotadas conocidas el 31 de agosto, cuatro días después del aviso del fabricante. Ese plazo —cuatro días— da una idea del ritmo al que se mueve la explotación real. Si usted administra una red educativa, no le recomiendo esperar a la próxima alerta: revise ya los ficheros server.log de PaperCut.
Las recomendaciones de Arctic Wolf para los defensores son concretas. Busque ficheros inusuales de cinco caracteres con extensiones .class, .cmd o .out; vigile el proceso pc-app.exe por shells como cmd.exe o powershell.exe; investigue comandos como whoami, tasklist, ver y uname. Compruebe además las descargas grandes con python-requests y las peticiones sospechosas a /custom/pcp_*.txt.
He seguido de cerca las campañas contra infraestructuras educativas desde hace años. Lo que me llama la atención aquí no es la técnica —es un patrón clásico— sino la rapidez con la que se ha pasado de la divulgación al ataque activo. Le adelanto que esto no es un incidente aislado: las mismas redes de distribución se reutilizan contra universidades y centros de investigación.
La recomendación de mantener las interfaces de gestión de PaperCut fuera de internet público no debería ser noticia en 2026. Sin embargo, los colegios siguen exponiendo estos paneles por comodidad operativa. El coste de esa decisión se mide en credenciales robadas, bases SAM comprometidas y, en el peor de los casos, en un acceso persistente que nadie detecta durante meses. Ese es el verdadero daño.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza es un ciberataque de doble etapa: omisión de autenticación más ejecución remota de código, con recolección de credenciales y persistencia mediante cuentas privilegiadas. La clasificación estimada del material comprometido —bases SAM, tokens LDAP, secretos de configuración— es Sin Clasificar pero Sensible, aunque en manos de un adversario estatal o de un bróker de acceso revierte en un riesgo operativo serio.
Las agencias implicadas son, en la práctica, privadas: Arctic Wolf como defensor e investigador, y los equipos TI de los colegios como víctimas. CISA actúa como observador regulador al incluir las fallas en su catálogo KEV. El precedente histórico es claro: los ataques con LockBit que explotaron PaperCut demostraron que esta plataforma es un puente hacia redes corporativas con poca visibilidad. Ahora se repite el esquema, pero con intención de robo silencioso.
Mi posición es moderada: no atribuyo la campaña a un servicio de inteligencia concreto. La evidencia técnica apunta a coyuntura y oportunismo, no a una operación dirigida por un Estado. Sin embargo, la velocidad de explotación y la búsqueda de tokens LDAP me recuerdan los patrones de los brókers de acceso inicial que venden después a grupos de ransomware o de espionaje corporativo. El próximo hito a seguir será la publicación de indicadores de compromiso más detallados por parte de Arctic Wolf o la actualización del KEV por CISA.
