PaperCut NG/MF bajo ataque activo: Por qué un error de 2023 vuelve al CISA-KEV un año después

8 min. de lectura · Actualizado: 23.04.2026

La CISA ha incluido el 20 de abril de 2026 PaperCut NG/MF mediante CVE-2023-27351 de nuevo en su catálogo de vulnerabilidades conocidas explotadas. Una brecha del primavera de 2023 vuelve a ser explotada activamente a principios de 2026. Para los equipos de seguridad en empresas DACH esto es menos una sorpresa que una valoración de la situación: la infraestructura de impresión se considera operativamente como “resuelta” y, precisamente por eso, se convierte en una puerta de entrada. Quien ahora no inicie un barrido de inventario, se encontrará tras un incidente que los usuarios percibirán pronto y los CISOs lo conocerán tarde.

Por qué un bug de 2023 vuelve al escenario en 2026

¿Qué es CVE-2023-27351? CVE-2023-27351 es una vulnerabilidad crítica de elusión de autenticación en la consola de gestión PaperCut NG y MF, valorada con una puntuación CVSS de 8,1. Un atacante no autenticado puede, a través del puerto de gestión web expuesto por defecto, inyectar usuarios o administradores y ejecutar scripts arbitrarios en el servidor. La causa radica en una validación de sesión defectuosa dentro de una capa de scripting de terceros, utilizada en PaperCut para la automatización de trabajos de impresión.

El bug se hizo público en marzo de 2023, PaperCut lanzó parches ese mismo mes. La CISA ya había incluido la brecha una vez en el catálogo KEV en 2023. ¿Por qué vuelve ahora? El patrón no es exótico. La infraestructura de impresión no forma parte del núcleo de la rutina de parches en muchas organizaciones. Muchas instalaciones fueron endurecidas provisionalmente en 2023, pero nunca actualizadas a las líneas de lanzamiento actuales. Al mismo tiempo, las cadenas de explotación para esta brecha llevan más de un año documentadas públicamente, incluyendo módulos de Metasploit y plantillas de Nuclei. La ventana de reexplotación permanece abierta mientras existan instancias sin parchear en la red.

La reactivación se inscribe en un contexto más amplio. El servidor de impresión rara vez es un sistema aislado, sino que suele estar privilegiado en Active Directory, con acceso a recursos compartidos, retransmisión de correo electrónico y, a menudo, a la base de datos de configuración de la impresora corporativa. Un servidor PaperCut comprometido brinda a los atacantes una plataforma desde la cual el movimiento lateral, la recolección de credenciales y el despliegue de ransomware resultan naturales. Un incidente que comienza en PaperCut no termina allí.

Qué versiones están afectadas y qué ha cambiado

La matriz de parches es manejable, pero crítica para una depuración limpia del inventario. Afectadas y explotables son todas las versiones anteriores a PaperCut NG/MF 20.1.7, 21.2.11 y 22.0.9. Quien utilice esas líneas de versión debe actualizar de inmediato. Las líneas de lanzamiento 23.x y 24.x incluyen la corrección original desde su publicación, aunque con condiciones. Quien esté en 23.x pero no haya desactivado el motor de scripting mediante configuración, debe comprobar si su nivel de parche incluye los hotfixes referenciados. Quien ejecute 24.x está, en la mayoría de los escenarios, seguro, pero debería seguir revisando la lista de verificación de exposición.

Un patrón que se hará más visible en 2026 es la combinación de exposición a Internet desconocida y falta de endurecimiento. Las instancias de PaperCut han crecido en muchas organizaciones sin planificación. Existen servidores centrales en el centro de datos, pero también instancias departamentales en servidores Windows instaladas de forma improvisada. Las instancias “shadow” de PaperCut en filiales o sitios de producción escapan a los escaneos clásicos porque no aparecen en la gestión de activos de TI. Según datos de Shodan, la probabilidad de que al menos una de esas instancias sea accesible desde Internet se sitúa en un rango de dos dígitos en porcentaje.

El sweep de inventario de 72 horas para equipos de seguridad

La respuesta a la reactivación no es un programa de luz azul, sino un enfoque estructurado de tres días. Quien trabaje de forma disciplinada tendrá, en 72 horas, claridad sobre la superficie de ataque, el nivel de parche y la cobertura de detección.

El sweep se mantiene deliberadamente reducido. Quien lo convierta en una fase de análisis de varias semanas perderá la ventana de tiempo frente a los atacantes. El playbook funciona cuando operaciones, seguridad y gestión de activos trabajan conjuntamente en un ticket y no esperan a departamentos aislados.

Cómo encaja el incidente en la situación del Q2 de 2026

El caso PaperCut no está solo. Quien ha seguido los movimientos CISA‑KEV desde principios de abril de 2026 observa un patrón. Cisco Catalyst SD‑WAN Manager, Apache ActiveMQ y F5 BIG‑IP más Citrix NetScaler se han reactivado o incorporado de nuevo en rápida sucesión. El denominador común no es una tendencia tecnológica, sino un patrón operativo. Los productos empresariales que se introducen una vez y luego se parchean de forma negligente pasan al foco de los brokers de exploits, porque los exploits escalan bien. Un grupo que dispone de una cadena PaperCut funcional encuentra a través de Shodan suficientes objetivos para explotarlos económicamente en una semana.

Para los equipos de seguridad en sectores regulados la situación se agrava por dos factores adicionales. Primero, NIS2 y la ley marco KRITIS aceleran las obligaciones de notificación de incidentes. Un sistema sin parchear, que se sabe está siendo explotado activamente y que genera un incidente, empeora la posición de evidencia ante la oficina de notificaciones del BSI. Segundo, las aseguradoras trabajan cada vez más con cuestionarios granulares sobre el estado de los parches. Quien en 2026 no pueda documentar una historia coherente de los parches de PaperCut se arriesga a recibir preguntas incómodas o exclusiones más estrictas en la próxima renovación de la póliza.

La esencia es poco atractiva, pero fundamental. Las entradas KEV reactivadas no son pánico, sino una señal. Indican qué categorías de sistemas operativos, middleware y software especializado reciben permanentemente poca atención de parcheo. PaperCut no será la última entrada de 2023 que vuelva a circular en 2026. Los equipos de seguridad que no alineen su gestión de activos de forma continua con la evolución KEV recibirán la misma lección cada seis o nueve meses. Quien establezca la rutina una vez, tratará las reactivaciones como trabajo rutinario, no como incidente.

Desde la perspectiva del editor se añade un punto que tiene relevancia práctica para los CISO de organizaciones medianas. Quien necesite un relato claro de la situación para la próxima reunión del consejo o para el informe al consejo de supervisión encontrará en la reactivación CISA‑KEV una referencia documentada de forma limpia. Una frase como “hemos realizado un barrido completo del inventario 72 horas después del aviso de CISA, verificamos todas las instancias y actualizamos los sistemas afectados dentro del plazo federal” brinda a los órganos de gobierno una respuesta comprensible sin margen de interpretación. La comunicación del consejo sobre temas de seguridad suele sufrir de exageración o subvaloración. La línea KEV elimina ambos extremos del debate y ofrece un lenguaje común entre operaciones de seguridad, cumplimiento y dirección.

Lo que los CISOs deben preparar para la próxima reunión del consejo

El caso de PaperCut es una buena ocasión para afinar la lógica del panel de seguridad ante el consejo. Tres elementos deberían estar presentes en cada plantilla del consejo al inicio del trimestre. Primero, un indicador de estado de parches para entradas KEV: número de vulnerabilidades KEV abiertas y confirmadas en la empresa, desglosado por clase de riesgo. Segundo, un indicador de exposición: cuáles de estos sistemas son accesibles desde Internet sin una WAF o bastión intermedio. Tercero, un indicador de detección: cuáles de estos sistemas tienen reglas activas de EDR o SIEM que detecten cadenas de exploits habituales.

Estos tres indicadores son robustos frente a la fluctuación de tendencias. Se basan en una fuente de referencia externa y verificable. Son comunicables a pesar de su complejidad. Y permiten medir el progreso o la regresión a lo largo de los trimestres sin tener que debatir cada nueva CVE. Muchos paneles de seguridad luchan precisamente con eso: son demasiado técnicos o demasiado políticos. Una lógica basada en KEV se sitúa en medio.

Para la discusión del consejo de supervisión también resulta útil una breve narrativa sobre la cultura de parches. ¿Cuánto tiempo transcurre entre una reactivación KEV de CISA y la finalización del despliegue de parches en la empresa? Quien pueda presentar ese dato como mediana y percentil 95 del último año dispone de una base de discusión. Quien no lo tenga, recibirá en el próximo incidente la incómoda variante de la pregunta. Las preguntas llegan de forma fiable, el momento no.

Un segundo componente es la perspectiva del proveedor. PaperCut es un ejemplo de un fabricante de software de mediana empresa con distribución mundial. En la conversación con el consejo vale la pena preguntar qué otros proveedores de esta categoría están presentes en la empresa y cómo funciona el diálogo de parches con ellos. La transparencia del fabricante sobre ciclos de fin de soporte, ventanas de parches de seguridad y comunicación fiable de incidentes ya no es una característica de lujo, sino una exigencia de compra estricta para cualquier proveedor de software estratégico. Los departamentos de compras que incluyan esto en los contratos marco reducen notablemente el número de sorpresas futuras.

La tercera preparación es más suave, pero no menos importante. Los equipos de seguridad que luchan diariamente contra la incomprensión encuentran en estas reactivaciones una oportunidad comunicativa. Ningún CISO tiene que generar pánico cuando la CISA ya ha señalado la situación. La comunicación interna cambia cuando autoridades externas enmarcan el tema. Quien aproveche este efecto puede impulsar la cultura de parches en la organización sin ser percibido como un freno. No se trata de un truco retórico, sino de trabajo en equipo con roles claramente distribuidos entre seguridad, operación de TI, compras y la dirección.

Preguntas frecuentes

Cada pregunta está bloqueada. Un toque desbloquea la respuesta.