PaperCut，这款被全球各类组织、学校和政府机构广泛使用的打印管理软件，在安全研究人员确认一个新的零日漏洞正在野外被积极利用后，已发布紧急补丁。该漏洞影响PaperCut NG和PaperCut MF，这是该公司销售的两款核心产品，用于帮助企业跟踪、管理和保护其网络中的打印活动。对于IT团队而言，信息很明确：立即打补丁，因为攻击者已经抢占了先机。

PaperCut漏洞详情及受影响范围

PaperCut NG和MF广泛部署在企业环境、高校和公共部门网络中，通常作为不起眼的基础设施安静地在后台运行，很少有人会想到它们，直到出了问题。这种默默无闻恰恰是问题的一部分。打印管理服务器通常以高权限运行并拥有广泛的网络访问权限，以便与打印机、用户目录和身份验证系统通信，这使得它们成为攻击者入侵后的理想落脚点。

这并不是PaperCut第一次陷入这种处境。2023年，一个编号为CVE-2023-27350的漏洞允许未经认证的攻击者绕过身份验证，并将该访问权限与PaperCut内置的脚本功能结合，远程执行恶意代码。该漏洞在披露后的数周内就被勒索软件关联组织利用，并成为CISA正式通告的主题。此次新披露的零日漏洞遵循着类似的模式：在补丁广泛可用之前就发现了活跃利用，迫使PaperCut的安全团队迅速行动推出修复方案。

攻击者如何在野外利用该漏洞

虽然完整的技术细节仍在陆续披露中，但PaperCut标记的利用模式与其此前在该软件上观察到的情况如出一辙：攻击者瞄准已暴露或面向互联网的PaperCut实例以获取未经授权的访问，然后利用该立足点在网络内部进行横向移动。由于打印服务器通常与域控制器和文件共享存在受信任的关系，单个被攻破的PaperCut实例可能给攻击者带来比该软件低调形象所暗示的更大的攻击半径。

这被称为零日漏洞，意味着它在补丁存在之前就已遭利用，这一事实意义重大。这意味着运行受影响版本的组织在补丁发布前完全暴露，无法仅通过打补丁来防御，至少直到PaperCut的紧急更新可用之前是这样。这个时间窗口正是勒索软件团伙和其他受经济利益驱动的攻击者所寻求的。

IT管理员和远程工作者的即时缓解措施

对于IT管理员来说，当务之急很明确：尽快应用PaperCut的紧急补丁。除打补丁外，以下几点额外的措施应立即采取：

  • 检查您的PaperCut服务器是否暴露于公共互联网，如果不需要则限制访问。
  • 审查PaperCut服务器上的近期身份验证日志，查找异常的管理员活动或意外的脚本执行。
  • 尽可能将打印管理服务器与网络的敏感部分进行分段隔离，使一次入侵不会自动转化为更广泛的访问权限。
  • 确认远程访问工具（包括供混合办公和远程员工使用的VPN）已配置强身份验证，并且不会无意中将内部管理接口暴露给更广泛的互联网。

远程和混合办公的员工通常不会直接管理PaperCut服务器，但他们同样受到更广泛风险的影响。如果企业网络通过易受攻击的打印服务器被攻破，那么通过网络可访问的任何数据（包括文件、凭据以及通过VPN访问的内部系统）都可能被暴露。每当广泛使用的企业基础设施被发现正在遭受主动攻击时，审查您组织的远程访问策略配置都是一个合理的预防措施。

这对勒索软件和数据勒索风险为何重要

像PaperCut这样未及时修补的企业软件屡次成为勒索软件攻击的早期入口，原因恰恰在于与邮件服务器或VPN网关等更受关注的系统相比，它在补丁管理周期中经常被忽视。一旦攻击者通过PaperCut之类的工具获得立足点，后续阶段通常涉及权限提升、横向移动，最终导致数据窃取或加密勒索。2023年的PaperCut事件表明，一旦漏洞公开，勒索软件关联组织可以多快将打印管理漏洞武器化，而这次新的零日漏洞引发了同样的担忧，而且预警时间更短，因为在补丁存在之前利用就已经开始了。

这对您意味着什么

如果您的组织运行PaperCut NG或MF，请将此视为紧急打补丁的优先事项，而非例行更新。如果您以远程或混合模式工作，此事件是一个很好的提醒：您组织的整体网络安全（包括VPN和远程访问工具的配置方式）直接影响当内部系统被攻破时您的数据暴露程度。您不需要亲自管理PaperCut服务器，也会受到其被入侵后果的影响。

PaperCut零日漏洞利用提醒我们，远离聚光灯的企业软件可能成为暴露整个网络的薄弱环节。IT管理员应立即应用紧急补丁并审计打印管理系统的暴露面，而远程工作者和安全团队也应借此机会重新审视远程访问策略，作为更广泛的深度防御策略的一部分。及时关注此类通告并迅速采取行动，仍然是领先于寻求下一个未修补入口点的勒索软件团伙的最有效方式之一。