În fiecare test de penetrare extern pe care îl facem, găsim o categorie de sisteme pe care nimeni nu le are în inventar. Nu sunt în CMDB, nu apar în documentul de scoping pentru NIS 2 și nimeni din echipa de securitate nu le-a asociat vreodată cu un finding real. Serverul de print se află, de regulă, în această categorie. La fel și relayul de mail. Au fost instalate cu ani în urmă, funcționează, iar presupunerea implicită e că „funcționează" înseamnă „e în regulă".
În august 2026, PaperCut a publicat două patch-uri de urgență pentru un lanț de vulnerabilități care a demonstrat, încă o dată, cât de departe duce această presupunere.
Ce face lanțul PaperCut în practică
CVE-2026-81578 este un bypass de autentificare în PaperCut MF și NG, cu scor CVSS 8.8. O cerere neautentificată ajunge la un endpoint care ar trebui să ceară credențiale — și reușește. Prin el singur, un atacator poate accesa interfața de administrare, enumera utilizatorii, vedea istoricul de print și extrage credențiale stocate în configurațiile dispozitivelor.
CVE-2026-82078, cu CVSS 9.4, extinde impactul prin încărcarea nesigură de clase, ducând la execuție de cod la distanță. Lanțate, cele două vulnerabilități permit unui atacator neautentificat să ruleze cod arbitrar pe serverul de print. Primul patch de urgență al PaperCut a putut fi ocolit — Huntress a reprodus bypass-ul și l-a raportat — iar un al doilea patch a urmat pentru versiunile 24, 25 și 26 pe Windows, Linux și macOS.
Detaliul relevant pentru instituțiile din România nu e scorul CVSS, ci contextul în care aceste servere rulează: fără un owner desemnat, cu actualizări dictate de „când revine cineva la el" în loc de o politică scrisă, și uneori cu interfața de management vizibilă pe internet pentru că cineva a deschis un port pentru acces de la distanță și nu l-a mai închis.
Exim intră în aceeași categorie
Agenții de transfer mail rulează pe același model de ownership. Exim, cu o cotă semnificativă pe serverele self-hosted cu Linux și MTA implicit în unele distribuții, a primit propriul patch critic în acest an pentru un RCE neautentificat prin chunked SMTP. Serverele Exim din instituțiile din România urmează același tipar: instalate pentru mail intern sau outbound, actualizate când un administrator își amintește, uneori rulând versiuni cu ani în urmă față de release-ul curent.
În testele de penetrare externe pe organizații și instituții publice din România, atât PaperCut cât și Exim apar în scanările IP externe cu o frecvență deloc neglijabilă. Apar pentru că cineva a deschis un port și nimeni nu l-a închis.
Ce spune NIS 2 despre inventarul de active
Articolul 21 din NIS 2 obligă entitățile esențiale și importante să implementeze măsuri de management al riscului care includ și managementul activelor: un inventar al sistemelor de rețea și informații relevante pentru furnizarea serviciilor, acoperind hardware-ul și software-ul deopotrivă.
Legea nu exceptează „serviciile de suport". Un server de print care procesează tot output-ul documentar intern are relevanță operațională. Un server Exim care rutează mailul outgoing al aplicațiilor de business are relevanță operațională. Testul nu e „pare critic?" — ci „compromiterea lui ar afecta furnizarea serviciului sau ar expune date?". Răspunsul la ambele întrebări este da.
În România, NIS 2 a fost transpusă prin OUG nr. 155/2024, consolidată prin Legea nr. 124/2025, cu Ordinele DNSC nr. 1/2025 și nr. 2/2025 ca framework operațional. Abordarea de supraveghere a DNSC pentru entitățile esențiale este proactivă — Directoriatul poate solicita dovezi privind inventarul și evaluarea riscului fără să aștepte un incident.
Termene de raportare dacă aceste sisteme sunt compromise
Dacă un server PaperCut sau Exim este compromis și incidentul se califică drept semnificativ — întrerupere de serviciu, expunere substanțială de date sau impact asupra terților — ceasul de raportare pornește imediat: avertizare timpurie la DNSC în 24 de ore, notificare completă a incidentului în 72 de ore și raport final în termen de o lună, transmise prin platforma PNRISC.
Fereastra de 24 de ore este greu de respectat dacă nimeni nu știa că serverul era în scopul NIS 2. Organizațiile care exclud infrastructura de print și mail din runbook-urile de răspuns la incidente descoperă asta în mijlocul incidentului, nu înainte.
Cum verifici aceste sisteme printr-un test de penetrare
Un test de penetrare extern care respectă cerințele de scoping NIS 2 pornește de pe internet și avansează spre interior. Interfața de management PaperCut și daemonul SMTP Exim apar în acea scanare. Dacă sunt accesibile, un tester calificat confirmă expunerea, demonstrează ce poate face un atacator din acea poziție și documentează totul într-o formă pe care DNSC o poate citi.
O evaluare de vulnerabilități oferă vederea continuă cu overhead redus: scanarea periodică a rangurilor IP externe față de CVE-urile curente identifică versiunile PaperCut și Exim nepatchuite înainte ca un atacator s-o facă. Cele două abordări nu se înlocuiesc reciproc — evaluarea găsește vulnerabilitățile cunoscute, testul arată ce realizează concret un atacator cu ele.
Framework-ul de audit și conformitate NIS 2 adaugă stratul de guvernanță: cine e ownerul sistemului, care e SLA-ul de patch și dacă ambele sunt documentate într-o formă care supraviețuiește unui control DNSC.
Trei lucruri de făcut săptămâna aceasta
- Rulează o scanare externă a rangurilor IP proprii și caută specific PaperCut pe porturile 9191 și 9192, și bannere SMTP care dezvăluie versiunea Exim. Dacă apare oricare, verifică versiunea față de advisory-ul curent.
- Atribuie un owner fiecărui server de print și mail din mediu. „IT" nu e un owner; o persoană nominalizată cu un SLA de patch definit este.
- Adaugă serverele de print și mail în inventarul NIS 2 cu o clasificare, un owner și o dată de ultimă revizuire. Dacă vreunul a fost accesibil de pe internet, include asta în înregistrarea de risc.
PaperCut și Exim nu sunt greu de securizat prin ele însele. Riscul vine din presupunerea că, fiindcă „funcționează", nu au nevoie de același ciclu de management ca sistemele care par în mod evident critice.
Acest articol are caracter informativ și nu constituie consultanță juridică sau de reglementare. Pentru modul în care NIS 2 clasifică organizația dumneavoastră specifică și obligațiile aplicabile, consultați cadrul de reglementare și consilierul juridic.
Surse: BleepingComputer — lanțul de vulnerabilități PaperCut, august 2026; The Hacker News — analiza lanțului PaperCut, august 2026; Huntress — cercetare bypass PaperCut; Directiva NIS 2 (UE) 2022/2555; DNSC — OUG nr. 155/2024.