先說結論：使用 PaperCut NG 或 MF 管理列印與掃描的組織，應核對正在執行的版本是否已升到 26.0.5，或使用 25.x 支線時升到 25.0.13 及其後續修正版。PaperCut 在九月的安全公告將 CVE-2026-82077 描述為 Scan-to-Fax 元件的路徑處理缺陷，單獨利用需要已通過驗證的管理員權限，可讓指令在應用伺服器執行。watchTowr 於十月九日公開的研究，另示範一項沒有分配 CVE 的認證繞過，如何與此缺陷在特定舊修補版串接。這是研究環境中的攻擊鏈證明，不等於 CVE-2026-82077 本身已在野外遭利用，也不能說每一個受影響版本都能被同一方式免登入攻擊。本文在台北時間十月十三日重新查核原廠公告及發現者的研究。
背景與前因：PaperCut NG 與 MF 是企業、學校及其他機構用來管理列印、掃描和使用者配額的軟體。這類系統通常設有管理介面，連接列印設備、使用者目錄與後端主機，因此更新前必須辨明是管理伺服器、周邊設備還是其他產品元件受到公告影響。此次原廠公告談的是 NG/MF，不應把同一頁另外列出的 Hive 問題，或其他版本的漏洞，直接套在每一套 PaperCut 部署上。PaperCut 的安全公告日期為九月二十四日，頁面顯示最後更新至九月二十七日；watchTowr 的技術研究則在十月九日公開。這些是事件與資料發布日期，並非本文的發表日期，也不代表漏洞今天才開始存在。
原因與前置條件：原廠把 CVE-2026-82077 描述為 Scan-to-Fax 元件對受限路徑的處理不足，並涉及作業系統指令處理。依原廠說明，攻擊者必須已具備 PaperCut 管理介面的驗證後管理員存取權，才符合單一漏洞所描述的利用前提；結果可能是在承載 PaperCut 的主機上執行未授權指令。原廠給予此項漏洞的 CVSS 第四版分數為 7.3，等級為高。這個分數反映公告所設定的前置條件與後果，不能只因『遠端執行』四個字就改寫成未登入者可直接利用。即使組織已限制管理介面的網路入口，也仍要查明帳號權限、登入記錄和軟體版本，不能把網路限制當作修補完成的證據。
watchTowr 的研究補上另一個必須分開理解的條件。研究團隊先在 PaperCut NG 26.0.4-PO 的 build 76508 找到一項認證繞過，內部編號為 WT-2026-0143；之後又找到新的驗證後遠端執行問題，內部編號 WT-2026-0144，後者對應 CVE-2026-82077。研究者在該特定版本的測試中將兩項缺陷串接，示範原先需要管理員權限的後段問題，如何因前段的認證繞過而形成免登入攻擊鏈。這個觀察提高了排查舊修補版的緊迫性，但不能把尚未取得 CVE 的前段問題，寫成 CVE-2026-82077 自己的權限條件。研究也沒有提供每家讀者環境都已遭到攻擊的證據。
影響範圍：PaperCut 原廠的處置建議是 NG/MF 更新至 26.0.5，若在 25.x 支線則更新至 25.0.13，或使用之後的修正版。原廠明確指出，已在這些最新版的客戶已涵蓋這批 NG/MF 問題的修正。watchTowr 對版本先後提供了更細的脈絡：九月一日的 26.0.4-PO build 76530 修正研究所稱的 WT-2026-0143 認證繞過，而九月十日的 26.0.5 才修正 WT-2026-0144，也就是 CVE-2026-82077。換句話說，一個暫時切斷特定攻擊鏈的中間修補，不等於這個 CVE 的後段缺陷已被消除。只看到『已安裝九月更新』或『版本是 26.0.4』，資訊都不足以判斷修補狀態，還應讀出完整版本與建置號。
這裡還有容易混淆的兩個編號。watchTowr 將較早在 26.0.3 上觀察到的實際野外利用，歸於 CVE-2026-81578 的認證繞過與 CVE-2026-82078 的驗證後遠端執行組合。本站先前已有關於這兩項漏洞的文章，但它們並不是今日所談的 CVE-2026-82077。研究者後續分析修補時，又找到其他繞過與新的後段漏洞；事件時間線相連，技術編號與利用證據卻不同。若一份通報只寫『PaperCut 已遭利用』，卻沒有標明漏洞編號和受影響建置，很容易把較早的野外事件錯貼到後來揭露的 CVE 上，造成風險誇大或修補清單遺漏。
對資產管理而言，先建立每一套實際運作的 PaperCut 伺服器清單，比只檢查採購記錄或下載目錄更重要。正式系統、備援節點、測試系統以及等待切換的舊主機可能有不同建置；一台管理伺服器完成更新，也不能代表所有節點都已更新。管理員應從系統自身讀取 NG 或 MF 產品別、完整版本及建置號，再與 PaperCut 的原廠公告和自己的變更單核對。若設備由委外服務商管理，要求對方提供目前運作版本與完成部署的證據，而非只有『已通知更新』的回覆。這一步能分開辨識尚在 25.x、早期 26.x 或已到修正版的資產，也能減少掃描工具把不同產品線混在一起的誤報。
你可以怎麼做：先由授權維運人員確認版本、備份配置與可回復方式，再依原廠指引安排升級。若屬 26.x，目標至少是原廠公告的 26.0.5；若屬 25.x，至少是 25.0.13，並優先考慮仍受支援的後續修正版。部署後重新登入管理介面，核對實際顯示的版本和建置，檢查列印、掃描、帳號同步及相關業務流程是否正常。若無法即刻升級，先限制管理介面的可達範圍，確認管理員權限只授予必要人員，盤點近期變更與登入活動，並排定可驗證的正式修補時間。這些是降低暴露的暫行控制，不能替代原廠修正，也無法保證已遭入侵的主機回到可信狀態。
若團隊擔心過去曾遭接觸，調查應從有時間戳的管理員登入、設定變更、應用程式日誌與主機異常活動開始，先保存原始記錄再比對合法維運工作。PaperCut 的一般掃描與傳真工作、服務重啟或設定異動，可能都是正常作業，不能單憑一條事件就指認為 CVE-2026-82077 的利用；反過來，沒有立即顯示異常，也不等於可以免除版本更新。對疑似受害的系統，應依組織的事件應變程序保留證據、評估憑證與管理權限，再處理主機隔離及恢復。本文不提供可重現研究攻擊鏈的請求、設定值或指令，因為讀者真正需要的是準確辨明版本、權限前提與可驗證的修補結果。
本次公開資料能支持的結論有清楚邊界：PaperCut 原廠確認 CVE-2026-82077 的驗證後管理員條件、NG/MF 影響及 26.0.5、25.0.13 的修補路徑；watchTowr 原始研究確認在 26.0.4-PO build 76508 的受控測試中，曾把另一項認證繞過與該漏洞串成免登入攻擊鏈，並列出中間及最終修補的時間。兩份資料都不能代替各機構的實際版本清單，也不能證明這個新 CVE 已在外部環境被利用。維運團隊應把『單點漏洞需要管理員』、『特定舊版可被兩項問題串接』與『更早的兩個 CVE 曾遭野外利用』分列處理，才能同時避免低估更新需求與誤報事故。
官方來源：
- PaperCut NG/MF Security Bulletin (24 Sep 2026)（PaperCut Software）
- Death By A Thousand PaperCuts: PaperCut Pre-Auth RCE Chain and Patch Bypasses（watchTowr Labs）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。