<p>PaperCut a corrigé le 3 août 2026 deux vulnérabilités touchant son serveur d'impression NG/MF, avec un risque d'atteinte à la confidentialité des...
Dans la plupart des petites structures, le serveur d'impression est un logiciel que l'on installe le jour où le parc de copieurs est livré, puis que l'on n'ouvre plus jamais. Il fonctionne, personne ne s'en plaint, et il finit par disparaître des inventaires. C'est pourtant une pièce qui voit passer une part considérable des documents de l'entreprise. PaperCut a publié le 3 août 2026 un bulletin de sécurité corrigeant deux vulnérabilités, référencées CVE-2026-8793 et CVE-2026-8794, dans sa solution PaperCut NG/MF. Le CERT-FR a relayé ces correctifs le même jour dans son avis CERTFR-2026-AVI-0959.
Les deux failles exposent à une atteinte à la confidentialité des données et à un contournement de la politique de sécurité. Toutes les versions antérieures à la 26.0.3 sont concernées. À la date de consultation de ces publications, ni l'éditeur ni le CERT-FR ne signalaient d'exploitation réelle. Ce statut peut évoluer: il est à revérifier sur la page de l'avis, qui reste la référence tenue à jour. Un serveur d'impression n'imprime pas seulement. Il centralise les travaux envoyés aux copieurs avant leur sortie papier: devis, contrats, courriers clients, bulletins de paie. Il gère aussi les comptes utilisateurs, les codes de déverrouillage saisis sur les photocopieurs et les journaux qui retracent qui a imprimé quoi.
Une atteinte à la confidentialité sur ce maillon revient donc à exposer des documents et des identifiants internes, sans qu'aucun poste de travail n'ait été compromis. Le contournement de politique de sécurité, lui, peut permettre d'échapper aux règles définies par l'administrateur, par exemple sur les accès réservés à certains services.
La difficulté propre à ce type d'équipement tient à sa gouvernance. Quand le parc de copieurs est loué ou infogéré par un prestataire, la question de savoir qui applique les correctifs sur le serveur d'impression n'a souvent jamais été tranchée par écrit. Chacun suppose que l'autre s'en occupe.
Ce qu'il faut faire
Ces éléments sont donnés à titre indicatif et doivent être validés sur votre propre infrastructure avant toute application en production.
Vérifier si vous êtes concerné. Identifiez si un serveur PaperCut NG/MF est en service et relevez sa version exacte depuis la console d'administration. Si le parc de copieurs est géré par un prestataire, posez-lui la question par écrit et conservez la réponse. Planifier la montée en version 26.0.3 ou supérieure. Sauvegardez au préalable la configuration et la base de données du serveur. Le sujet ne relève pas de l'urgence absolue, mais d'un cycle de maintenance à ne pas repousser indéfiniment.
Fermer l'interface d'administration côté Internet. Vérifiez qu'elle n'est joignable que depuis le réseau interne ou via un accès VPN. Faire le ménage dans les comptes administrateurs. Retirez les accès d'anciens salariés et d'anciens prestataires, un exercice rarement mené sur ce type de serveur.
Ajouter ce serveur à votre inventaire. C'est la cause première de l'oubli: ce qui n'est pas listé n'est pas suivi. Choisir un créneau calme pour l'intervention. L'impression est un service dont l'interruption se voit immédiatement dans les bureaux. Testez hors production si vous en avez la possibilité.
Revoir la durée de conservation des travaux et des journaux. Ils peuvent contenir des données personnelles, ce qui en fait un sujet de conformité autant que de sécurité. Deux correctifs sans urgence déclarée, sur un équipement qu'on oublie facilement. Le véritable enseignement n'est pas la mise à jour elle-même, mais la question qu'elle soulève: votre serveur d'impression figure-t-il quelque part dans la liste des systèmes dont quelqu'un, chez vous ou chez votre prestataire, assume nommément la maintenance? CERT-FR, avis CERTFR-2026-AVI-0959 relatif à de multiples vulnérabilités dans PaperCut NG/MF, 3 août 2026 — cert.ssi.gouv.fr. PaperCut, bulletin de sécurité PaperCut NG/MF, 3 août 2026 — papercut.com.
Synthèse rédactionnelle originale de TICLIC, établie à partir de sa veille du 4 août 2026. Les références de versions et d'identifiants CVE proviennent de l'avis du CERT-FR et du bulletin de l'éditeur, deux sources indépendantes concordantes. L'absence d'exploitation connue reflète l'état de ces publications à la date de consultation et n'a pas fait l'objet d'une vérification indépendante ultérieure: reportez-vous à l'avis du CERT-FR, qui est tenu à jour.