PaperCut NG/MF: Reguläre Updates ersetzen die Notfallpatches

PaperCut hat für die Ende August aktiv ausgenutzte Sicherheitslücke in PaperCut NG und PaperCut MF regulär getestete Wartungsversionen veröffentlicht. Sie lösen die Notfallpatches ab, die der Hersteller in den Tagen nach dem 27. August nachgeschoben hatte.

Wer noch auf einem Emergency Build läuft, soll nach Herstellerangaben auf eine Wartungsversion wechseln. Wer bislang gar nicht gepatcht hat, muss sofort handeln. Angriffe auf öffentlich erreichbare, ungepatchte Server dauern an.

Seitdem hat PaperCut ein weiteres Sicherheitsbulletin veröffentlicht. Es betrifft zusätzliche Schwachstellen, für die der Hersteller keine Hinweise auf Ausnutzung meldet. Dieser Beitrag trennt deshalb den ursprünglichen Vorfall von den später gemeldeten Korrekturen.

PaperCut-Sicherheitslücke wird bereits aktiv ausgenutzt

PaperCut veröffentlichte die erste Warnung am 27. August 2026 und bestätigte Kundenfälle. Das Canadian Centre for Cyber Security verweist ebenfalls auf öffentlich berichtete aktive Ausnutzung der beiden Schwachstellen CVE-2026-81578 und CVE-2026-82078.

Huntress beobachtete Angriffe in zwei Kundenumgebungen. Die Sicherheitsforscher konnten die beiden Fehler zudem zu einer Angriffskette verbinden, die Remote Code Execution ohne vorherige Anmeldung ermöglicht. In den beobachteten Fällen dienten die ersten Befehle vor allem der Systemaufklärung.

Wer hinter den Angriffen steht und welches Ziel die Angreifer verfolgen, ist derzeit nicht bestätigt. Auch die Zahl tatsächlich kompromittierter Unternehmen lässt sich aus den vorliegenden Angaben nicht belastbar ableiten.

Welche PaperCut-Versionen schließen die Lücken?

Seit dem 10. September stehen PaperCut NG/MF 26.0.5, 25.0.13 und 24.1.10 bereit. PaperCut bezeichnet sie als reguläre Maintenance Releases. Sie haben die vollständige Qualitätssicherung durchlaufen, tragen eigene Versionsnummern und erscheinen mit veröffentlichten Release Notes.

Diese Versionen enthalten alle Korrekturen aus den Emergency Patch Releases 1, 2 und 3 sowie zusätzliche Härtung. Für die 24er-Reihe hat PaperCut am 11. Oktober noch 24.1.11 nachgelegt. Diese Version schließt eine weitere Lücke aus dem September-Bulletin.

Für PaperCut NG/MF 23 und älter gibt es weder Notfallpatches noch Wartungsversionen. Betroffene Installationen müssen auf eine unterstützte Versionslinie wechseln, also auf 24, 25 oder 26. Bis dahin bleibt die Beschränkung des Webzugriffs auf vertrauenswürdige Adressen die entscheidende Maßnahme.

Dabei zählt nicht nur der primäre Application Server. Site Server sowie Secondary und Print Server gehören ebenfalls auf einen gepatchten Stand. Mobility Print, Print Deploy und die Client-Software sind nach Herstellerangaben nicht betroffen. Öffentlich erreichbare Verwaltungsoberflächen vergrößern die Angriffsfläche, eine Zero Trust Architecture setzt deshalb nicht allein auf den Patchstand.

Was ermöglichen CVE-2026-81578 und CVE-2026-82078?

CVE-2026-81578 betrifft die Zugriffskontrolle der Webverwaltung. Unter bestimmten Bedingungen können nicht authentifizierte Anfragen administrative Funktionen auslösen, bevor die Zugriffskontrolle vollständig greift. Dadurch lassen sich bestimmte Systemkonfigurationen verändern. PaperCut bewertet die Schwachstelle mit CVSS 8,8.

CVE-2026-82078 betrifft das dynamische Laden von Java-Klassen in den Datenbankfunktionen. Kann ein Angreifer zuvor Konfigurationsparameter manipulieren, lässt sich Java-Bytecode im Sicherheitskontext des PaperCut-Serverprozesses ausführen. Diese Lücke erreicht einen CVSS-Wert von 9,4.

Entscheidend ist die Verkettung beider Fehler. Huntress reproduzierte damit eine vollständige Remote-Code-Execution gegen einen ungepatchten PaperCut-NG-Server, ohne sich vorher anmelden zu müssen.

Warum ersetzen die Wartungsversionen die Notfallpatches?

Die Notfallpatches entstanden unter Zeitdruck und durchliefen den normalen Release-Prozess nicht vollständig. Release 3 vom 1. September behob zwei Regressionen, darunter defekte SAML-Logins, und ergänzte weitere Härtung.

Wer auf Release 3 läuft, ist nach Angaben des Herstellers gegen die beschriebenen Lücken geschützt und kann den Wechsel regulär einplanen. Wer noch auf Release 1 oder 2 steht, sollte dagegen sofort aktualisieren.

Ein praktischer Nebeneffekt betrifft die Anzeige im Produkt. Die Emergency Builds meldeten dieselbe Versionsnummer wie die ungepatchte Ausgangsversion, der Sicherheitshinweis in der Oberfläche blieb deshalb sichtbar. Erst eine Wartungsversion lässt ihn verschwinden.

Laut PaperCut gingen die Meldungen über neue Kompromittierungen zuletzt deutlich zurück. Server, die weiterhin öffentlich erreichbar und ungepatcht laufen, greifen Angreifer jedoch weiter an.

Welche zusätzlichen Lücken meldet das September-Bulletin?

Am 24. September veröffentlichte PaperCut ein zweites Bulletin, zuletzt aktualisiert am 13. Oktober. Es betrifft drei weitere Schwachstellen in NG und MF und gehört nicht zur angegriffenen Schwachstellenkette vom August.

CVE-2026-14780 erlaubt Codeausführung über das optionale Print and Device Scripting. Die Funktion ist seit Version 22.1.1 standardmäßig abgeschaltet, und ein Angriff setzt bereits administrativen Zugang voraus. PaperCut bewertet die Lücke mit CVSS 7,5.

CVE-2026-82077 betrifft die Scan-to-Fax-Komponente und ermöglicht einem angemeldeten Administrator Befehlsausführung auf dem Host, bewertet mit CVSS 7,3. CVE-2026-87739 erlaubt dagegen auch ohne gültige Anmeldedaten, Berichte zu erzeugen und so an Informationen zu gelangen, bewertet mit CVSS 6,9.

Für diese drei Lücken meldet PaperCut keine Hinweise auf Ausnutzung. Sie gehören deshalb in die reguläre Patchplanung und nicht in dieselbe Dringlichkeitsstufe wie der Vorfall von Ende August.

Welche Angriffsspuren sollten Unternehmen prüfen?

PaperCut nennt mehrere mögliche Indicators of Compromise. Dazu gehören verdächtige Kindprozesse von pc-app.exe, fehlende oder unerwartet gekürzte server.log-Dateien und bestimmte Datenbankfehler in den Logs. Zusätzlich wurden zufällig benannte Dateien mit den Endungen .class, .cmd und .out beobachtet.

In dokumentierten Fällen führten Angreifer unter anderem die Befehle whoami, tasklist und nltest sowie PowerShell aus. Später wurden SimpleHelp und AnyDesk als Fernzugriffswerkzeuge installiert. Das Fehlen dieser Spuren beweist laut PaperCut jedoch nicht, dass ein System nicht kompromittiert wurde.

Das gleiche Prüfprinzip gilt bei anderen aktiv ausgenutzten Serverlücken. Unser Beitrag zu VMware vCenter zeigt ebenfalls, warum nach dem Patch eine Prüfung auf bereits erfolgte Zugriffe relevant bleibt.

Was IT-Verantwortliche jetzt tun sollten

Der erste Schritt bleibt die Bestandsaufnahme: Wo läuft PaperCut NG oder MF, und ist der Application Server öffentlich erreichbar? Bei Internetexposition gehört die Beschränkung des Webzugriffs auf vertrauenswürdige Adressen weiterhin dazu.

Danach entscheidet der Versionsstand über die Dringlichkeit. Ungepatchte Systeme aktualisieren Sie sofort, ebenso Installationen auf Emergency Patch Release 1 oder 2. Läuft Release 3, planen Sie den Wechsel auf 26.0.5, 25.0.13 oder 24.1.11 im nächsten Wartungsfenster ein.

Anschließend sollten Administratoren Logs, Prozessketten, ungewöhnliche Dateien und Fernzugriffswerkzeuge prüfen. Bei einem konkreten Verdacht auf Kompromittierung empfiehlt PaperCut, den Application Server vollständig neu aufzusetzen und ein sauberes Backup aus der Zeit vor dem verdächtigen Verhalten wiederherzustellen.

Die PaperCut-Sicherheitslücke zeigt erneut, warum ein erfolgreicher Patch nicht automatisch einen bereits erfolgten Angriff beseitigt. Für betroffene Unternehmen gehören Aktualisierung, Expositionskontrolle und Incident Response deshalb zusammen.

Weitere aktuelle Meldungen zu Sicherheitslücken, Cloud und Unternehmens-IT finden Sie im IT-Dock Newsletter. Die Anmeldung ist unter https://it-dock.de/#newsletter möglich.

Quellen: PaperCut: URGENT Security Advisory vom 27. August 2026, PaperCut: Security Bulletin vom 24. September 2026

Aktualisiert am 19. Oktober 2026