PaperCut RCE Vulnerability wird aktiv ausgenutzt

Eine neu entdeckte PaperCut RCE vulnerability wird bereits aktiv gegen PaperCut NG- und PaperCut MF-Druckmanagement-Server weltweit ausgenutzt. PaperCut bestätigte am 27. August 2026 aktive Angriffe, veröffentlichte innerhalb weniger Stunden einen Notfall-Patch und ersetzte diesen am nächsten Morgen durch einen gehärteten zweiten Patch, nachdem Sicherheitsforscher die erste Lösung als unvollständig einstuften. Jede Organisation mit einem aus dem Internet erreichbaren PaperCut Application Server sollte dies als dringend behandeln.

Was ist passiert

Diese PaperCut RCE vulnerability besteht tatsächlich aus zwei verketteten Schwachstellen. CVE-2026-81578 ist ein Zugriffskontrollfehler in der Web-Management-Oberfläche: Eine speziell präparierte, nicht authentifizierte Anfrage bringt PaperCuts Autorisierungsprüfung dazu, eine Aktion freizugeben, die einer anderen Seite zugeordnet ist als der tatsächlich geprüften — ein externer Angreifer kann so Serverkonfigurationswerte ändern. CVE-2026-82078 missbraucht anschließend PaperCuts Datenbankverbindungs-Utilities, die Java-Klassen dynamisch laden, ohne deren Inhalt ordnungsgemäß zu validieren — in Kombination mit der ersten Lücke erhält ein nicht authentifizierter Angreifer damit beliebige Java-Codeausführung innerhalb des PaperCut-Application-Server-Prozesses.

PaperCut erklärt, dass grundsätzlich alle Versionen von PaperCut NG und PaperCut MF betroffen sein könnten. Notfall-Patches sind bereits für die Versionszweige v25 und v26 verfügbar; ein Fix für v24 befindet sich noch in Arbeit. Das Sicherheitsunternehmen Huntress reproduzierte die vollständige Angriffskette unabhängig und löste dabei einen SYSTEM-Prozess aus, der unter dem PaperCut-Server-Prozess gestartet wurde. In bereits beobachteten realen Vorfällen führten Angreifer einfache Aufklärungsbefehle aus (whoami & ver, beziehungsweise whoami & ver & tasklist) und platzierten eine sich selbst löschende Java-Payload, die zusätzlich die eigene Server-Logdatei bereinigt — ein bestätigter Vorfall dauerte insgesamt unter zwei Minuten.

PaperCut hat hier bereits eine dokumentierte Vorgeschichte. 2023 wurde eine andere PaperCut-RCE-Lücke (CVE-2023-27350) zu einem weit verbreiteten Einstiegsvektor: Clop- und LockBit-Ransomware-Partner sowie später iranische staatsnahe Gruppen und die Bl00dy-Gang nutzten sie aus — nicht um in PaperCut gespeicherte Daten zu stehlen, sondern schlicht um einen Fuß in der übrigen Netzwerkumgebung zu bekommen.

Warum das wichtig ist

PaperCut NG und MF sind Teil der Druckmanagement-Infrastruktur an Schulen, Hochschulen, Behörden und in Mittelstandsbüros im gesamten DACH-Raum — Infrastruktur, die selten als Erstes auf Internet-Exposition geprüft wird und genau in die Kategorie „unauffällig, allgegenwärtig, manchmal versehentlich aus dem Internet erreichbar“ fällt, die in diesem Workspace immer wieder ausgenutzt wird. Angesichts des Präzedenzfalls von 2023 beschränkt sich das realistische Risiko nicht auf Druckdaten: Ein kompromittierter PaperCut-Server ist ein plausibles Sprungbrett in das übrige Netzwerk, in Zugangsdatenspeicher und — für NIS2-regulierte Unternehmen — potenziell ein meldepflichtiger Vorfall, sollte er weitere Folgen haben.

Was Sie jetzt tun sollten

1. Installieren Sie sofort PaperCuts Emergency Patch Release 2 für den Versionszweig v25 oder v26. Bei v24 ist der Fix von PaperCut noch in Arbeit — isolieren Sie den Server in der Zwischenzeit.
2. Prüfen Sie, ob Ihr PaperCut Application Server aus dem öffentlichen Internet erreichbar ist. Falls ja, beschränken Sie den Zugriff sofort per Firewall-Regeln oder Netzwerkzugriffskontrollen auf vertrauenswürdige interne IP-Adressen — auch wenn bereits gepatcht wurde.
3. Ist keine sofortige Abmilderung möglich, nehmen Sie den Application Server vollständig vom Internet, bis Release 2 nachweislich installiert ist.
4. Suchen Sie nach Kompromittierungsindikatoren: ungewöhnliche Aktivität von pc-app.exe, fehlende oder gekürzte server.log-Dateien sowie die Log-Meldungen ERROR No suitable driver found for jdbc:no:x oder ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST. PaperCut selbst weist darauf hin, dass das Fehlen dieser Indikatoren eine Kompromittierung nicht ausschließt.

Sichern Sie das vollständige server/logs-Verzeichnis, die aktuelle Konfiguration sowie relevante Firewall-/Proxy-Logs, bevor Sie patchen oder neu starten — war der Server exponiert, verändert sich dieser Beweisstand mit jedem weiteren Schritt.

DIESEC Einschätzung

Der Abstand zwischen PaperCuts erstem Notfall-Patch und dem gehärteten Release 2 weniger als 24 Stunden später ist selbst ein bemerkenswerter Befund: Der erste Fix unter Zeitdruck ist nicht automatisch der vollständige Fix. Dieses Muster sehen wir regelmäßig in Mittelstandsumgebungen — ein Patch wird eingespielt, das Ticket geschlossen, aber niemand prüft nach, ob das nachgelagerte Hardening des Herstellers tatsächlich ankam.

Nicht sicher, ob Ihre Druckinfrastruktur oder andere öffentlich erreichbare Management-Oberflächen eine solche Expositionslücke haben? Kontaktieren Sie DIESEC für eine schnelle Analyse Ihrer externen Angriffsfläche und Patch-Verifizierung.

Quellen: BleepingComputer | Huntress
Veröffentlicht: 2026-08-31 | Kategorie: Tägliche News | ~4 Min. Lesezeit