Existe um equipamento em quase toda empresa que ninguém lembra de olhar: o servidor que controla a impressão. Ele foi instalado no dia em que a rede ficou pronta, passou a funcionar sozinho e virou paisagem. Só que essa máquina esquecida guarda fila de documentos, lista de funcionários, ligação com as senhas da rede e, em muitos casos, cópia do que foi impresso. Quando ela responde a quem chama de fora, o assunto deixa de ser impressão e passa a ser vazamento.
É o que está acontecendo agora com o PaperCut, um dos programas de gestão de impressão mais difundidos no mundo corporativo. Duas falhas foram corrigidas às pressas na semana passada, depois de já estarem sendo exploradas antes de existir remendo disponível, e agora aparecem em ataques com uma finalidade bem específica: levar dados embora. Para quem decide numa clínica, num escritório, numa indústria ou numa loja, a pergunta não é técnica. É saber se existe alguma coisa da sua empresa atendendo a internet sem que você saiba.
O que aconteceu com o PaperCut
As duas brechas receberam os códigos CVE-2026-81578 e CVE-2026-82078 e atingem as edições NG e MF do produto. Usadas em sequência, permitem que um estranho passe por cima da autenticação e execute comandos no servidor. A própria fabricante informa que o software está presente em mais de 70 mil organizações e serve cerca de 100 milhões de usuários, entre grandes empresas, órgãos de governo e instituições de ensino.
A resposta veio em ondas. Foram três pacotes emergenciais em poucos dias, publicados na quinta, na sexta e na terça-feira, com a intenção declarada de socorrer quem não conseguiria simplesmente desligar o servidor da internet. Chris Dance, executivo-chefe da fabricante, contou que a primeira entrega foi uma mitigação de urgência e que a seguinte reforçou o produto à medida que o problema ficou mais claro. Ele avisou ainda que novas versões emergenciais podem aparecer antes da atualização definitiva, aquela submetida a testes completos de qualidade e regressão. A orientação em vigor não deixa margem: quem mantém o servidor de aplicação acessível pela internet deve instalar a terceira liberação emergencial, mesmo tendo aplicado alguma correção anterior.
Desta vez o objetivo é o dado, não a parada
A empresa de inteligência de ameaças Defused relatou ter registrado a exploração em seus sensores desde o fim do dia 29 de agosto, no horário universal. O detalhe que interessa está no comportamento do invasor. Em vez de seguir o caminho de execução de código descrito nas análises públicas, ele aproveita o desvio de autenticação para sequestrar a consulta externa de usuários e despejar, pelo Derby, tabelas do banco de dados. Traduzindo: não quer derrubar serviço nem chamar atenção. Quer copiar informação e sair.
A fabricante divulgou indicadores de comprometimento para ajudar quem defende as redes, mas ainda não apontou os responsáveis nem descreveu o que os invasores fazem depois de entrar. Em paralelo, o Shadowserver, que acompanha serviços expostos na internet, contabiliza mais de 800 servidores PaperCut visíveis publicamente. Não há como saber quantos já foram protegidos ou quantos são armadilhas montadas por pesquisadores.
Por que um servidor de impressão vale tanto
A pergunta natural de quem toca um negócio é simples: o que alguém faria com a impressão da minha empresa? A resposta incomoda. Sistemas assim existem para controlar quem imprime o quê, em qual setor e a que custo. Isso significa cadastro de pessoas, integração com o diretório de usuários da rede e histórico de trabalhos. Em 2023, quando outra falha do mesmo produto foi explorada, os grupos criminosos abusaram justamente do recurso de arquivamento, criado para guardar tudo o que passa pelo servidor de impressão.
No dia a dia, isso tem nome: laudo de paciente, contrato assinado, folha de pagamento, projeto de engenharia, tabela de preços. Documento que sai na bandeja passou por ali antes. Se esse acervo escapa, a conversa sai da sala da TI e vira assunto de LGPD, de jurídico e de telefonema com cliente perguntando o que aconteceu.
Não é a primeira vez, e não será a última
O histórico do produto ajuda a dimensionar o problema. Em abril de 2023, duas falhas do PaperCut, a CVE-2023-27350 e a CVE-2023-27351, foram encadeadas em ataques associados às quadrilhas de ransomware LockBit e Clop. Duas semanas depois, a Microsoft revelou que dois grupos ligados ao Estado iraniano, conhecidos como Muddywater e APT35, também tinham entrado na fila. Em maio daquele ano, FBI e CISA alertaram que a gangue Bl00dy usava a mesma brecha para conseguir o primeiro acesso às redes das vítimas. E, em julho de 2025, a CISA voltou a marcar outra falha do produto, a CVE-2023-2533, como alvo de exploração ativa.
O padrão se repete porque o software está em toda parte, costuma ficar com o painel de administração acessível de fora e quase nunca entra na rotina de atualização da casa. Não é uma questão de produto ruim. É uma questão de peça esquecida.
O que a sua empresa pode fazer nesta semana
- Levantar o que está exposto. Antes de corrigir, é preciso saber o que responde na internet e em qual versão. Um projeto de rede documentado entrega essa lista em minutos, não em dias.
- Fechar o que não precisa estar aberto. Painel de administração de sistema interno não tem por que ficar visível para o mundo. Acesso remoto se resolve com VPN e regras bem escritas no firewall corporativo.
- Aplicar a correção mais recente. No caso do PaperCut, a instrução do fabricante é instalar a terceira liberação emergencial, inclusive onde já houve atualização antes.
- Procurar sinais de visita. Os indicadores de comprometimento divulgados servem para isso. Com monitoramento 24 horas, esses sinais são cruzados com o que de fato passou pela rede.
- Conferir se o backup volta. Roubo de dados costuma ser o primeiro capítulo de uma história mais longa. Um backup com restauração testada é o que separa o susto da parada de vários dias.
Vale registrar o pano de fundo. O problema real não é o PaperCut: é o inventário. Boa parte das empresas brasileiras não tem uma lista confiável do que está ligado, em qual versão e com qual porta aberta. Sem essa lista, toda notícia de vulnerabilidade vira aposta. Com ela, a mesma notícia vira uma tarefa de trinta minutos, resolvida antes do almoço.
Fonte: BleepingComputer — Recently patched PaperCut zero-days used in data theft attacks, 1º de setembro de 2026.
A Ragnatela projeta e cuida da infraestrutura de empresas que preferem não descobrir uma brecha pelo noticiário: rede, firewall, monitoramento 24 horas e backup com restauração testada. Se hoje você não consegue dizer o que da sua empresa está exposto na internet, fale com a nossa equipe e vamos levantar isso com você.
Perguntas frequentes
O que é o PaperCut e por que ele virou alvo?
É um software de gestão de impressão, usado para controlar quem imprime o quê e a que custo. Ele fica no meio do caminho entre as pessoas e os documentos, conversa com o diretório de usuários da rede e, muitas vezes, tem o painel de administração acessível pela internet. Essa combinação o torna um alvo atraente.
Minha empresa é pequena e não usa PaperCut. Isso me afeta?
O produto pode não estar na sua rede, mas a lógica do ataque vale para qualquer sistema interno publicado na internet e sem rotina de atualização. Vale checar o que responde de fora: gerenciador de impressão, gravador de câmeras, painel do firewall, servidor de arquivos, acesso remoto.
Já apliquei uma atualização do PaperCut. Preciso fazer algo?
Sim. A orientação divulgada pela fabricante é instalar a terceira liberação emergencial mesmo em servidores que já receberam correção anterior, principalmente quando o servidor de aplicação está acessível pela internet.
Como descobrir se algum servidor meu está exposto?
Com inventário atualizado e uma verificação do que responde no endereço público da empresa. É trabalho de rede e segurança: começa pelo mapa do que existe e termina em regras de firewall e monitoramento contínuo.
