PaperCut双零日漏洞遭在野利用：CISA将两个CVE列入KEV目录，联邦机构9月14日前须完成修补

CVE-2026-82078则是数据库连接工具中的不安全动态类加载漏洞。攻击者利用认证绕过改写db-driver、db-url、id-to-username-sql等四项外部用户查询配置，指向恶意JDBC连接与构造SQL，再触发用户查询执行该SQL。通过内置的Derby驱动与H2的INIT机制，最终在Nashorn引擎上创建JavaScript触发器并启动操作系统进程，实现无需凭证、无需用户交互的远程代码执行。

补丁过程出现反复。PaperCut于8月27日发布首个紧急补丁，但研究人员在24小时内发现可利用Home页面变体绕过的新路径，公司于8月28日紧急发布第二版补丁（Emergency Patch Release 2），覆盖v24、v25、v26三个版本的Windows、Linux与macOS平台。仅安装了首个补丁的组织被视为未受保护，必须重新修补；v23及更早版本无补丁可用，须升级至受支持版本。

CISA于8月31日将两个CVE同时列入已知被利用漏洞（KEV）目录，确认在野利用事实，要求联邦民事行政机构分别于9月11日与9月14日前完成修补。目前Metasploit利用模块已公开，攻击门槛显著降低。企业可排查未认证POST请求、pc-app.exe派生cmd.exe或PowerShell、server.log被删除或截断、异常.class文件写入server/lib目录等入侵指标。

打印管理服务器广泛部署于企业、教育与医疗环境，长期处于补丁滞后状态且常被暴露于互联网，是勒索软件operators的传统跳板——2023年PaperCut的CVE-2023-27350漏洞曾被大规模利用。建议组织立即将Web管理界面访问限制为可信内网IP范围，并对8月27日后暴露的服务器开展取证排查，直至证明未失陷。