PaperCut, uno de los sistemas de gestión de impresión más usados en oficinas, centros educativos y pymes de todo el mundo, ha tenido que publicar dos parches de emergencia en pocos días después de que atacantes empezaran a explotar activamente dos fallos encadenados en sus versiones NG y MF. Lo cuentan tanto The Hacker News como BleepingComputer y SecurityWeek casi al mismo tiempo, señal de que la amenaza es real y está en curso ahora mismo.
Qué ha pasado
Los investigadores detectaron que un atacante puede encadenar dos vulnerabilidades en PaperCut para ejecutar código de forma remota sin necesidad de autenticarse, es decir, sin usuario ni contraseña. PaperCut lanzó un primer parche, pero poco después se descubrió que existían formas de saltárselo, por lo que la compañía tuvo que sacar un segundo parche de emergencia para cerrar del todo el hueco. Mientras tanto, ya se han detectado intentos de explotación activos contra instalaciones que seguían sin actualizar.
Por qué es tan grave
Una ejecución remota de código no autenticada es de las peores combinaciones posibles en ciberseguridad: el atacante no necesita robar antes ninguna credencial, le basta con encontrar el servidor de impresión expuesto. Y PaperCut suele vivir precisamente en ese punto ciego: es un servidor interno que casi nadie revisa con la misma frecuencia que el correo o el propio sitio web, pero que en muchos casos está conectado a la red de toda la oficina.
Que haya hecho falta un segundo parche porque el primero no bastaba es también una señal a tener en cuenta: no basta con haber actualizado hace unas semanas, hay que comprobar que se tiene la versión más reciente de verdad.
Qué significa esto para tu empresa
Si en tu oficina hay una copiadora o un sistema de impresión compartido gestionado con PaperCut —algo muy habitual en pymes con varios empleados—, este servidor puede llevar meses funcionando sin que nadie revise sus actualizaciones de seguridad. A diferencia de un ordenador de sobremesa, los servidores de impresión rara vez entran en el ciclo habitual de parcheo del departamento de informática (o del proveedor que hace ese trabajo), simplemente porque «funcionan» y nadie los toca.
Un atacante que consiga ejecutar código en ese servidor no se queda ahí: desde él puede intentar moverse lateralmente hacia el resto de la red, acceder a documentos impresos o escaneados, o usarlo como puerta de entrada para un ataque de ransomware más amplio.
Qué puedes hacer ahora
- Comprueba la versión de PaperCut que tienes instalada y aplica ambos parches de emergencia si no lo has hecho ya; el primero por sí solo no es suficiente.
- Revisa que el servidor de impresión no esté expuesto directamente a internet. Debería estar accesible solo desde la red interna o mediante VPN.
- Aplica el mismo criterio a otros servidores «invisibles» de tu empresa: NAS, cámaras IP, servidores de backup… cualquier dispositivo que lleve tiempo sin revisión es un riesgo.
- Revisa los registros (logs) del servidor en busca de actividad inusual si ha estado expuesto durante los últimos días.
- Establece un calendario de actualizaciones que cubra también la infraestructura interna, no solo los equipos de los empleados.
En Smart Informática ayudamos a pymes y profesionales de Madrid a mantener al día toda su infraestructura de red y a detectar estos puntos ciegos antes de que los encuentre un atacante. Si no sabes con certeza cuándo se actualizó por última vez tu sistema de impresión, es un buen momento para revisarlo.
Fuentes: The Hacker News, BleepingComputer y SecurityWeek.
Foto de Albert Stoynov en Unsplash.