PaperCut NG/MF 两个已修补零日漏洞被用于数据窃取，企业打印系统需立即排查

据 BleepingComputer 2026 年 9 月 1 日报道，PaperCut NG 和 PaperCut MF 打印管理软件中的两个安全漏洞，在上周完成修补前已被作为零日漏洞利用，如今又被用于数据窃取攻击。来源显示，这起事件的关键并不只是“有漏洞已被修复”，而是攻击活动已经从漏洞利用延伸到敏感数据外泄风险。对于依赖集中式打印管理的企业、学校、公共机构和远程办公团队来说，打印系统往往连接着账号、文档、目录服务和内部网络，一旦暴露或延迟修补，可能成为攻击者进入数据链路的入口。

事件核心：已修补不等于风险结束

PaperCut NG 与 MF 属于常见的打印管理平台，用于控制打印任务、用户权限、审计和成本管理。来源摘要指出，相关两个漏洞在上周被补丁修复，但在修复前已经遭到零日利用；目前又出现被滥用于数据窃取的情况。这意味着部分攻击可能早于管理员安装补丁发生，单纯确认“当前版本已更新”并不能完全排除环境曾经被入侵。

对安全团队而言，零日漏洞的难点在于防御窗口较短：漏洞被利用时，官方补丁可能尚未发布，传统的补丁管理流程无法提前覆盖。补丁发布后，攻击者也可能继续扫描未更新实例，或利用此前获得的访问权限进行后续操作。因此，组织需要将本次事件视为漏洞修复与入侵排查并行的安全响应，而不是普通版本升级。

为什么打印管理软件会成为数据窃取目标

打印系统在很多组织中长期被视为基础设施，安全优先级低于邮件、身份系统或数据库。但从隐私保护角度看，打印管理平台可能处理大量具有业务含义的文档元数据，甚至与身份认证、文件共享、办公网络等系统产生连接。攻击者若能滥用其中漏洞，可能借此接触内部资源、识别用户行为，或为进一步窃取资料创造条件。

此次报道特别提到“data theft attacks”，说明攻击目的已不只是验证漏洞或部署简单载荷，而是围绕数据获取展开。对涉及人事、财务、医疗、教育或法律文件的机构来说，打印链路中的数据泄露可能影响合规、客户信任和内部运营安全。

• 立即确认版本状态：核查 PaperCut NG/MF 是否已安装上周发布的修补更新。
• 回溯异常活动：不要只看更新后的日志，应检查补丁发布前后的登录、管理操作、任务访问和异常连接。
• 限制暴露面：避免将打印管理后台直接暴露在公网，优先通过受控网络访问。
• 审查账号权限：检查管理员账号、服务账号和目录集成权限是否存在异常或过度授权。
• 准备数据泄露评估：若发现可疑访问，应评估是否涉及文档、用户信息或业务数据外泄。

对 VPN 与远程办公用户的影响解读

从 VPN 用户视角看，本次事件提醒企业：远程访问安全不仅是“能否连回公司”，还包括连接后能访问哪些内部系统。若打印管理后台、管理端口或相关服务被纳入远程办公网络，攻击者一旦获取账号或利用漏洞，可能在 VPN 通道内横向接触更多资源。因此，VPN 应与最小权限、设备合规检查和日志审计结合，而不是作为单一信任边界。

对于需要远程管理办公系统的团队，建议将打印管理等后台服务放入分层访问策略中，仅允许经过授权的管理员、可信设备和必要网络段访问。个人用户在公共 Wi-Fi 或不可信网络中处理办公事务时，也应注意加密连接与账号安全；RedGate VPN 可作为加密网络流量的可选工具之一，但关键仍是组织端的补丁、权限和监控体系。

管理员现在应采取的优先动作

由于来源显示漏洞已被用于数据窃取，建议相关组织把响应优先级提升到高等级。第一步是确认所有 PaperCut NG/MF 实例均完成修补；第二步是排查是否存在补丁前被利用的迹象；第三步是基于日志和访问记录判断是否需要启动数据泄露响应流程。若环境中存在公网访问、弱口令、共享管理员账号或缺少集中日志等问题，应同步整改。

总体来看，这起 PaperCut 事件再次说明，企业隐私安全风险常常来自被忽视的“边缘系统”。打印管理平台虽然不像数据库那样显眼，但它连接人员、文档和内部网络。对 VPN 与远程办公场景而言，真正稳健的防护应覆盖补丁速度、访问控制、加密传输与持续审计四个环节。