PaperCut unter Angriff: Unternehmen müssen NG und MF jetzt patchen

Die PaperCut-Sicherheitslücke wird bereits aktiv ausgenutzt. Betroffen sind PaperCut NG und PaperCut MF. Der Hersteller hat deshalb einen Emergency Patch veröffentlicht und inzwischen durch Release 2 ersetzt. Eine reguläre Produktversion mit den Korrekturen liegt nach dem Herstellerstand vom 31. August 2026 noch nicht vor.

Für Unternehmen ist die Lage besonders relevant, wenn der PaperCut Application Server aus dem Internet erreichbar ist. PaperCut fordert Betreiber solcher Systeme auf, den Webzugriff sofort auf vertrauenswürdige IP-Adressen zu begrenzen. Der Vorfall reiht sich damit in aktuelle Cybersecurity-Meldungen ein, bei denen Patchen und die Suche nach bereits erfolgten Zugriffen parallel erfolgen müssen.

PaperCut-Sicherheitslücke wird bereits aktiv ausgenutzt

PaperCut veröffentlichte die erste Warnung am 27. August 2026 und bestätigte Kundenfälle. Das Canadian Centre for Cyber Security verweist ebenfalls auf öffentlich berichtete aktive Ausnutzung der beiden Schwachstellen CVE-2026-81578 und CVE-2026-82078.

Huntress beobachtete Angriffe in zwei Kundenumgebungen. Die Sicherheitsforscher konnten die beiden Fehler zudem zu einer Angriffskette verbinden, die Remote Code Execution ohne vorherige Anmeldung ermöglicht. In den beobachteten Fällen dienten die ersten Befehle vor allem der Systemaufklärung.

Wer hinter den Angriffen steht und welches Ziel die Angreifer verfolgen, ist derzeit nicht bestätigt. Auch die Zahl tatsächlich kompromittierter Unternehmen lässt sich aus den vorliegenden Angaben nicht belastbar ableiten.

Welche PaperCut-Versionen sind betroffen?

PaperCut behandelt derzeit alle Versionen von PaperCut NG und PaperCut MF als potenziell betroffen. Emergency Patch Release 2 steht für die Hauptversionen 24, 25 und 26 bereit. Für Installationen vor Version 24 empfiehlt der Hersteller ein Upgrade auf eine aktuelle Version.

Nicht nur der primäre Application Server ist zu berücksichtigen. Site Server sowie Secondary und Print Server sollen ebenfalls auf eine gepatchte Version gebracht werden. Print Deploy und Mobility Print sind laut PaperCut nicht von diesen Schwachstellen betroffen.

Gerade öffentlich erreichbare Verwaltungsoberflächen vergrößern die Angriffsfläche. Eine Zero Trust Architecture setzt deshalb nicht allein auf den Patchstand, sondern begrenzt auch erreichbare Dienste und vertraut Netzwerkpositionen nicht pauschal.

Was ermöglichen CVE-2026-81578 und CVE-2026-82078?

CVE-2026-81578 betrifft die Zugriffskontrolle der Webverwaltung. Unter bestimmten Bedingungen können nicht authentifizierte Anfragen administrative Funktionen auslösen, bevor die Zugriffskontrolle vollständig greift. Dadurch lassen sich bestimmte Systemkonfigurationen verändern. PaperCut bewertet die Schwachstelle mit CVSS 8,8.

CVE-2026-82078 betrifft das dynamische Laden von Java-Klassen in den Datenbankfunktionen. Kann ein Angreifer zuvor Konfigurationsparameter manipulieren, lässt sich Java-Bytecode im Sicherheitskontext des PaperCut-Serverprozesses ausführen. Diese Lücke erreicht einen CVSS-Wert von 9,4.

Entscheidend ist die Verkettung beider Fehler. Huntress reproduzierte damit eine vollständige Remote-Code-Execution gegen einen ungepatchten PaperCut-NG-Server, ohne sich vorher anmelden zu müssen.

Warum der zweite Emergency Patch wichtig ist

PaperCut veröffentlichte den ersten Notfall-Patch am 28. August. Noch am selben Tag folgte Release 2 mit zusätzlicher Härtung. Der Hersteller empfiehlt ausdrücklich, Release 2 auch dann einzuspielen, wenn bereits die erste Fassung installiert wurde.

Der Patch ist weiterhin eine Notfallmaßnahme und hat den normalen Release-Prozess nicht vollständig durchlaufen. PaperCut untersucht außerdem Berichte über Probleme mit externen Card-ID-Datenbankabfragen und SAML. Bei bestimmten SQL-Server-Konfigurationen mit dem älteren jTDS-Treiber empfiehlt der Hersteller den Wechsel auf den unterstützten Microsoft SQL JDBC Driver.

Unternehmen sollten den Patch daher nicht aufschieben, mögliche Nebenwirkungen aber in den Betriebsplan einbeziehen. Besonders bei geschäftskritischen Druckprozessen sind Tests und ein belastbarer Wiederanlaufplan sinnvoll.

Welche Angriffsspuren sollten Unternehmen prüfen?

PaperCut nennt mehrere mögliche Indicators of Compromise. Dazu gehören verdächtige Kindprozesse von pc-app.exe, fehlende oder unerwartet gekürzte server.log-Dateien und bestimmte Datenbankfehler in den Logs. Zusätzlich wurden zufällig benannte Dateien mit den Endungen .class, .cmd und .out beobachtet.

In dokumentierten Fällen führten Angreifer unter anderem die Befehle whoami, tasklist und nltest sowie PowerShell aus. Später wurden SimpleHelp und AnyDesk als Fernzugriffswerkzeuge installiert. Das Fehlen dieser Spuren beweist laut PaperCut jedoch nicht, dass ein System nicht kompromittiert wurde.

Das gleiche Prüfprinzip gilt bei anderen aktiv ausgenutzten Serverlücken. Unser Beitrag zu VMware vCenter zeigt ebenfalls, warum nach dem Patch eine Prüfung auf bereits erfolgte Zugriffe relevant bleibt.

Was IT-Verantwortliche jetzt tun sollten

Zuerst sollten Unternehmen ermitteln, wo PaperCut NG oder MF betrieben wird und ob der Application Server öffentlich erreichbar ist. Bei Internetexponierung sollte der Zugriff sofort auf vertrauenswürdige Netze oder IP-Adressen beschränkt werden. Danach ist Emergency Patch Release 2 für die unterstützten Versionen einzuspielen.

Anschließend sollten Administratoren Logs, Prozessketten, ungewöhnliche Dateien und Fernzugriffswerkzeuge prüfen. Bei einem konkreten Verdacht auf Kompromittierung empfiehlt PaperCut, den Application Server vollständig neu aufzusetzen und ein sauberes Backup aus der Zeit vor dem verdächtigen Verhalten wiederherzustellen.

Die PaperCut-Sicherheitslücke zeigt erneut, warum ein erfolgreicher Patch nicht automatisch einen bereits erfolgten Angriff beseitigt. Für betroffene Unternehmen gehören Aktualisierung, Expositionskontrolle und Incident Response deshalb zusammen.

Weitere aktuelle Meldungen zu Sicherheitslücken, Cloud und Unternehmens-IT finden Sie im IT-Dock Newsletter. Die Anmeldung ist unter https://it-dock.de/#newsletter möglich.