摘要

  • PaperCut 于 9 月 10 日发布 26.0.5、25.0.13 和 24.1.10 版本，将此前的安全修复纳入常规维护版本
  • PaperCut 表示，Emergency Patch Release 3 已能提供防护，但仍需把相关应用服务器、站点服务器和辅助服务器全部纳入核查范围

事实

PaperCut 于 9 月 10 日发布 NG 和 MF 的 26.0.5、25.0.13 和 24.1.10 版本，将此前紧急补丁中的修复纳入常规维护版本。这些版本在 CISA 针对美国联邦文职机构设定的 9 月 14 日整改期限之前发布；该期限涉及 CVE-2026-82078，而 PaperCut 表示，此漏洞可与 CVE-2026-81578 组合利用。

PaperCut 表示，仍在使用 Emergency Patch Release 1 或 2 的客户应立即更新。运行 Emergency Patch Release 3 的系统已受到保护，可防范公告所述问题，并可按正常更新计划迁移到维护版本。

此前的紧急版本沿用了原有版本号，因此 PaperCut 的产品内通知无法区分已修补和未修补的服务器。新的维护版本拥有各自的版本号。PaperCut 还表示，相关站点服务器和辅助服务器也必须更新；其用户客户端软件不受本公告影响。

评估

PaperCut 的紧急发布过程造成了一个棘手的记录管理问题。由于紧急版本沿用了原有版本号，即使两台服务器安装了不同的紧急补丁，也可能显示相同的版本。在短时间内连续发布三次之后，工单中若只写“已修补”，无法为下一位管理员提供足够信息。

9 月 10 日发布的维护版本使情况更易判断，因为每个受支持分支现在都有清晰的版本号。但核查主应用服务器只是工作的一部分。站点服务器和辅助服务器也需要列入更新记录，否则一次部署中仍可能存在状态不明确的机器。

对 BTW 读者而言，团队现在可以区分仍需紧急防护的服务器和已运行 Emergency Patch Release 3、正等待常规维护升级的服务器。逐台服务器记录构建版本，可清楚呈现这一区别，并避免仅因旧版本号仍然可见，就把已受保护的系统视为未修补。

后续关注

应关注应用服务器、站点服务器和辅助服务器从紧急补丁迁移到新维护版本的进展。有用的证据将是一份覆盖整个部署的记录，说明哪些机器已运行当前维护版本、哪些仍由 Emergency Patch Release 3 提供保护，以及哪些仍需紧急处理。