PaperCut : un nouvel avis du CERT-FR invite à vérifier certains systèmes d’impression

Un avis français récent, mais des correctifs déjà connus

Le 23 octobre 2026, le CERT-FR, service français de veille et de réponse aux incidents de cybersécurité, a publié l’avis CERTFR-2026-AVI-1377 concernant plusieurs vulnérabilités des logiciels de gestion d’impression PaperCut. Cette publication est bien nouvelle. En revanche, le bulletin de l’éditeur PaperCut a été publié le 24 septembre 2026 et mis à jour le 13 octobre : il serait inexact de présenter toutes les failles ou tous les correctifs comme découverts ou publiés le 23 octobre.

Les logiciels PaperCut NG et MF servent notamment à administrer les impressions, les quotas et certains équipements multifonctions. PaperCut Hive propose un fonctionnement différent, avec notamment une application embarquée sur des appareils Ricoh. Les petites entreprises ne sont concernées que si elles utilisent réellement l’un de ces produits et une version ou configuration affectée. La présence d’une imprimante ordinaire ne suffit pas à conclure.

Quelles versions faut-il contrôler ?

L’avis du CERT-FR cite PaperCut NG/MF 24.x avant 24.1.11, 25.x avant 25.0.13 et 26.0.x avant 26.0.5. Pour PaperCut Hive, il mentionne les versions antérieures à 2.3.0 de l’application embarquée concernée. Ces seuils constituent un point de départ prudent pour le contrôle : le bulletin de l’éditeur détaille, vulnérabilité par vulnérabilité, les versions correctives et les conditions d’exploitation, parfois plus spécifiques.

Les risques documentés ne sont pas interchangeables. L’exécution de code à distance via certains composants NG/MF nécessite, selon PaperCut, un accès administrateur authentifié ou l’activation d’une fonction optionnelle. Une autre vulnérabilité touche la confidentialité de certains rapports. Pour l’application Hive sur Ricoh, le scénario décrit nécessite un accès physique au lecteur NFC de l’appareil. Le communiqué ne prouve donc pas qu’un attaquant quelconque puisse compromettre toutes les imprimantes à distance et sans identifiants.

Ce qu’une TPE ou une PME peut faire sans perturber son activité

• Demander au prestataire informatique si l’entreprise utilise PaperCut NG, MF ou Hive, et noter le nom exact du produit, sa version et les modules activés.
• Comparer la configuration réelle avec le bulletin PaperCut et l’avis CERT-FR ; ne pas extrapoler à d’autres solutions d’impression.
• Si un composant est concerné, planifier avec l’administrateur une mise à jour vers une version corrigée, avec sauvegarde et procédure de retour arrière.
• Tester après mise à jour l’impression, la numérisation, l’authentification des utilisateurs et les flux métier dépendants des multifonctions.
• Limiter l’accès aux interfaces d’administration et vérifier les droits attribués aux comptes techniques, sans improviser de modification risquée en production.

Pourquoi le sujet compte aussi hors des services informatiques

Dans une entreprise, un cabinet ou une structure de soins, les impressions peuvent contenir des factures, coordonnées, dossiers ou informations internes. Une faiblesse dans la gestion des impressions peut donc avoir une conséquence sur la confidentialité, même si le site Web public de l’entreprise est parfaitement à jour. La bonne question est de savoir qui administre la solution et comment les correctifs sont suivis.

Le bulletin PaperCut consulté indique ne pas disposer de preuve d’exploitation des vulnérabilités décrites. Cette affirmation correspond à l’état déclaré par l’éditeur dans son bulletin, pas à une garantie d’absence d’attaque. Les conditions de risque varient selon la version et les fonctions actives ; un inventaire est plus utile qu’une alerte générale adressée à tous les possesseurs d’imprimantes.

À retenir

L’actualité du 23 octobre est la publication de l’avis français, pas la sortie simultanée de quatre nouveaux correctifs. Une entreprise qui n’utilise pas PaperCut n’a pas d’action particulière à entreprendre au titre de cet avis. Pour les autres, une vérification ciblée avec leur prestataire constitue une réponse proportionnée.