PaperCut, perangkat lunak manajemen cetak yang digunakan oleh organisasi, sekolah, dan lembaga pemerintah di seluruh dunia, telah merilis patch darurat setelah peneliti keamanan mengonfirmasi kerentanan zero-day baru yang aktif dieksploitasi di lapangan. Cacat ini memengaruhi PaperCut NG dan PaperCut MF, dua produk inti yang dijual perusahaan untuk membantu bisnis melacak, mengelola, dan mengamankan pencetakan di seluruh jaringan mereka. Bagi tim TI, pesannya tegas: patch sekarang, karena penyerang sudah lebih dulu bergerak.

Apa Kerentanan PaperCut Itu dan Siapa yang Terdampak

PaperCut NG dan MF banyak digunakan di lingkungan perusahaan, universitas, dan jaringan sektor publik, sering kali berada diam-diam di latar belakang sebagai infrastruktur yang tidak menonjol dan jarang dipikirkan orang sampai terjadi masalah. Ketidakjelasan itulah bagian dari masalahnya. Server manajemen cetak sering berjalan dengan hak istimewa yang ditinggikan dan akses jaringan yang luas agar dapat berkomunikasi dengan printer, direktori pengguna, dan sistem autentikasi, yang menjadikannya pijakan yang menarik bagi penyerang yang ingin membobol sistem.

Ini bukan pertama kalinya PaperCut berada dalam posisi seperti ini. Pada tahun 2023, kerentanan yang dilacak sebagai CVE-2023-27350 memungkinkan penyerang tanpa autentikasi untuk melewati autentikasi dan merangkai akses tersebut dengan fungsionalitas skrip bawaan PaperCut untuk mengeksekusi kode berbahaya dari jarak jauh. Cacat itu dimanfaatkan oleh afiliasi ransomware dalam hitungan minggu setelah diungkapkan dan menjadi subjek advisori resmi dari CISA. Zero-day yang baru diungkapkan ini mengikuti pola serupa: eksploitasi aktif ditemukan sebelum patch tersedia secara luas, memaksa tim keamanan PaperCut untuk bergerak cepat dalam menyediakan perbaikan.

Bagaimana Penyerang Mengeksploitasinya di Lapangan

Meskipun detail teknis lengkap masih terus bermunculan, pola eksploitasi yang ditandai PaperCut mencerminkan apa yang telah dilihat tim keamanan sebelumnya dengan perangkat lunak ini: penyerang menargetkan instance PaperCut yang terekspos atau menghadap internet untuk mendapatkan akses tidak sah, kemudian menggunakan pijakan itu untuk bergerak lateral di dalam jaringan. Karena server cetak sering memiliki hubungan tepercaya dengan domain controller dan berbagi file, satu instance PaperCut yang dikompromikan dapat memberikan penyerang radius ledakan yang jauh lebih besar daripada yang disarankan oleh profil rendah perangkat lunak tersebut.

Fakta bahwa ini digambarkan sebagai zero-day, yang berarti dieksploitasi sebelum patch ada, sangat signifikan. Ini berarti organisasi yang menjalankan versi rentan terekspos tanpa cara untuk bertahan hanya melalui patching, setidaknya sampai pembaruan darurat PaperCut tersedia. Kesenjangan waktu itulah yang dicari oleh kelompok ransomware dan aktor lain yang termotivasi secara finansial.

Langkah Mitigasi Segera untuk Admin TI dan Pekerja Jarak Jauh

Bagi administrator TI, prioritas saat ini jelas: terapkan patch darurat PaperCut sesegera mungkin. Selain patching, beberapa langkah tambahan layak dilakukan segera:

  • Periksa apakah server PaperCut Anda terekspos ke internet publik dan batasi akses jika tidak perlu.
  • Tinjau log autentikasi terbaru di server PaperCut untuk aktivitas admin yang tidak biasa atau eksekusi skrip yang tidak terduga.
  • Segmentasikan server manajemen cetak dari bagian sensitif jaringan jika memungkinkan, sehingga kompromi tidak otomatis berarti akses yang lebih luas.
  • Pastikan alat akses jarak jauh, termasuk VPN yang digunakan oleh staf hybrid dan jarak jauh, dikonfigurasi dengan autentikasi yang kuat dan tidak secara tidak sengaja mengekspos antarmuka manajemen internal ke internet yang lebih luas.

Pekerja jarak jauh dan hybrid biasanya tidak mengelola server PaperCut secara langsung, tetapi mereka terpengaruh oleh risiko yang lebih luas. Jika jaringan perusahaan dikompromikan melalui server cetak yang rentan, data apa pun yang dapat diakses melalui jaringan tersebut, termasuk file, kredensial, dan sistem internal yang dijangkau melalui VPN, berpotensi terekspos. Meninjau bagaimana kebijakan akses jarak jauh organisasi Anda dikonfigurasi adalah tindakan pencegahan yang wajar setiap kali infrastruktur enterprise yang banyak digunakan ditemukan sedang diserang secara aktif.

Mengapa Ini Penting untuk Risiko Ransomware dan Pemerasan Data

Perangkat lunak enterprise yang tidak di-patch seperti PaperCut berulang kali menjadi titik masuk awal dalam kampanye ransomware, justru karena sering diabaikan dalam siklus manajemen patch dibandingkan dengan sistem yang lebih menonjol seperti server email atau gateway VPN. Setelah penyerang mendapatkan pijakan melalui alat seperti PaperCut, tahap berikutnya biasanya melibatkan eskalasi hak istimewa, pergerakan lateral, dan akhirnya pencurian data atau enkripsi untuk pemerasan. Insiden PaperCut 2023 menunjukkan seberapa cepat afiliasi ransomware dapat mempersenjatai cacat manajemen cetak setelah dipublikasikan, dan zero-day baru ini menimbulkan kekhawatiran yang sama, hanya saja dengan peringatan yang lebih sedikit karena eksploitasi dimulai sebelum patch ada.

Apa Artinya Ini Bagi Anda

Jika organisasi Anda menjalankan PaperCut NG atau MF, perlakukan ini sebagai prioritas patching yang mendesak, bukan pembaruan rutin. Jika Anda bekerja dari jarak jauh atau dalam pengaturan hybrid, insiden ini adalah pengingat yang baik bahwa keamanan jaringan organisasi Anda secara keseluruhan, termasuk bagaimana VPN dan alat akses jarak jauh Anda dikonfigurasi, secara langsung memengaruhi seberapa terekspos data Anda ketika sistem internal dikompromikan. Anda tidak perlu mengelola server PaperCut sendiri untuk terpengaruh oleh apa yang terjadi jika server itu diretas.

Eksploitasi zero-day PaperCut adalah pengingat bahwa perangkat lunak enterprise yang jauh dari sorotan dapat menjadi mata rantai lemah yang mengekspos seluruh jaringan. Admin TI harus menerapkan patch darurat segera dan mengaudit eksposur pada sistem manajemen cetak, sementara pekerja jarak jauh dan tim keamanan sama-sama harus menggunakan momen ini untuk meninjau kembali kebijakan akses jarak jauh sebagai bagian dari strategi pertahanan berlapis yang lebih luas. Tetap mengikuti advisori seperti ini, dan bertindak cepat atas advisori tersebut, tetap menjadi salah satu cara paling efektif untuk tetap unggul dari kelompok ransomware yang mencari titik masuk berikutnya yang belum di-patch.