PaperCut’ta Yeni Güvenlik Açıkları Veri Hırsızlığı Saldırılarına Dönüştü

PaperCut NG ve MF yazılımlarında geçen hafta acil güncellemelerle kapatılan iki sıfır gün açığının saldırganlar tarafından veri çalmak için aktif olarak kullanıldığı ortaya çıktı. CVE-2026-81578 ve CVE-2026-82078 olarak izlenen açıklar birlikte kullanıldığında kimlik doğrulama mekanizması aşılabiliyor ve savunmasız sunucularda uzaktan kod çalıştırılabiliyor. PaperCut, dünya genelinde 70 binden fazla kuruluşta kullanılan yazılım için yamaları yayınlarken tehdit istihbaratı şirketleri internete açık yüzlerce sunucunun hâlen saldırı riski taşıdığını bildiriyor.

PaperCut Açıkları Kimlik Doğrulamayı Aşarak Sunuculara Ulaşabiliyor

PaperCut NG ile MF sunucularını etkileyen iki güvenlik açığı, saldırganların önce kimlik doğrulama kontrolünü atlamasına ardından uzaktan kod çalıştırmasına olanak tanıyor. CVE-2026-81578 ile CVE-2026-82078 zincirleme kullanıldığında saldırganlar savunmasız bir yazdırma yönetim sunucusu üzerinde yetkisiz erişim elde edebiliyor.

PaperCut Software, açıkların sıfır gün olarak kullanıldığının anlaşılmasının ardından perşembe ile cuma günü iki ayrı acil güncelleme yayınladı. Şirket ayrıca saldırıların tespit edilmesine yardımcı olmak için güvenlik ekiplerinin sistemlerinde arayabileceği ihlal göstergelerini paylaştı.

PaperCut’in geniş kullanım alanı, saldırıların potansiyel etkisini artırıyor. Şirketin verdiği bilgilere göre yazılım 70 binden fazla kuruluşta yaklaşık 100 milyon kullanıcı tarafından kullanılıyor. Büyük şirketler, kamu kurumları ile eğitim kuruluşları PaperCut NG ve MF kullanan kurumlar arasında yer alıyor.

Tehdit istihbaratı şirketi Defused, 29 Ağustos’tan itibaren iki açığın gerçek saldırılarda kullanılmaya başlandığını gözlemlediğini açıkladı. Şirket, saldırganların yayınlanan uzaktan kod çalıştırma yönteminden farklı bir yol izleyerek kimlik doğrulama açığını PaperCut’in harici kullanıcı arama işlevini ele geçirmek için kullandığını belirtiyor.

Saldırganların asıl hedefinin veri hırsızlığı olduğu aktarılıyor. Defused tarafından gözlemlenen saldırılarda tehdit aktörleri Derby veritabanı üzerinden tablo içeriklerini dışarı aktarmaya çalışırken PaperCut sunucusunda depolanan bilgileri doğrudan ele geçirmeye yöneliyor.

Shadowserver Foundation ise internete açık 800’den fazla PaperCut NG ve MF sunucusunu takip ediyor. Kuruluşun izlediği sistemlerin tamamının saldırıya açık olduğu anlamına gelmeyen bu sayı, bazı sunucuların honeypot olabileceğini veya yöneticiler tarafından güvenlik güncellemeleriyle korunmuş olabileceğini de kapsıyor. Yine de internete doğrudan açık yazdırma yönetim sunucuları, saldırganların uzaktan erişim arayışlarında öncelikli hedeflerden biri hâline geliyor.

PaperCut Software henüz saldırıların arkasındaki tehdit aktörlerini belirlemedi. Şirket ayrıca saldırganların ele geçirilen sistemlerde hangi işlemleri gerçekleştirdiğine ilişkin kapsamlı bir açıklama yapmadı. Defused’in gözlemleri ise en azından bazı saldırıların doğrudan veri toplama amacı taşıdığını gösteriyor.

PaperCut altyapısı daha önce de yüksek etkili siber saldırıların hedefinde yer aldı. Nisan 2023’te CVE-2023-27350 uzaktan kod çalıştırma açığı ile CVE-2023-27351 bilgi ifşası açığı birlikte kullanılırken LockBit ve Clop ile ilişkilendirilen saldırılar PaperCut sunucularını hedef aldı.

Microsoft, söz konusu saldırı dalgasının ardından İran bağlantılı MuddyWater ile APT35 gruplarının da PaperCut açıklarını kullandığını bildirdi. Saldırganlar, yazdırma sunucularının belgeleri saklamak için kullandığı Print Archiving özelliğinden yararlanarak hedef sistemlerdeki verilere erişmeye çalıştı.

FBI ile CISA da Mayıs 2023’te Bl00dy fidye yazılımı grubunun CVE-2023-27350 açığını ağlara ilk erişim sağlamak amacıyla kullandığı konusunda uyarıda bulundu. CISA, Temmuz 2025’te CVE-2023-2533 adlı başka bir uzaktan kod çalıştırma açığının da aktif saldırılarda kullanıldığını duyurdu.

Yeni açıkların ortaya çıkması, PaperCut sunucularının geçmişteki saldırılar nedeniyle taşıdığı riskin devam ettiğini gösteriyor. Kurum yöneticilerinin acil güncellemeleri yüklemesi, internete açık PaperCut sunucularını kontrol etmesi, şirketin yayınladığı ihlal göstergelerini güvenlik kayıtlarıyla karşılaştırması ve yetkisiz veritabanı erişimi belirtilerini incelemesi gerekiyor. Özellikle yazdırma altyapısının doğrudan internet üzerinden erişilebilir olması, saldırganların kimlik doğrulama açığını uzaktan kullanabilmesi nedeniyle kritik bir risk oluşturuyor.

PaperCut’in yeni güvenlik açıkları için yayınladığı yamaların ardından saldırıların devam etmesi, sıfır günlerin kapatılmasının tek başına yeterli olmadığını da ortaya koyuyor. Kurumların güncelleme işlemini tamamladıktan sonra geçmiş erişim kayıtlarını incelemesi, şüpheli hesap etkinliklerini araştırması ve veritabanından olağan dışı veri aktarımı olup olmadığını kontrol etmesi gerekiyor. Önceki yıllarda fidye yazılımı grupları ile devlet destekli tehdit aktörlerinin PaperCut açıklarını kullanmış olması, yeni kampanyanın yalnızca yazdırma hizmetlerini değil kurumların daha geniş veri güvenliğini ilgilendirdiğini gösteriyor.