Am 27. August 2026 veröffentlichte PaperCut Software ein dringendes Sicherheitsbulletin, das bestätigte, was jede Organisation mit internetzugänglicher Druckinfrastruktur befürchtete: Angreifer nutzten aktiv eine zuvor unbekannte Schwachstellenkette in PaperCut NG und PaperCut MF aus. Innerhalb von 48 Stunden hatte der Anbieter zwei CVEs zugewiesen, einen Notfallpatch veröffentlicht, festgestellt, dass dieser Patch umgangen wurde, und einen zweiten Notfallfix veröffentlicht, der mit Input von Huntress- und watchTowr-Forschern erstellt wurde.
Dies ist einer der schnellsten öffentlichen Patch-Umgehung-Repatch-Zyklen in jüngerer Geschichte. Und es enthüllt eine unbequeme Wahrheit: Die Software, auf die Ihr Büro jeden Tag angewiesen ist, könnte das schwächste Glied in Ihrem Sicherheitsposture sein.
Die beiden Schwachstellen, die alles veränderten
Die Angriffskette kombiniert zwei Schwachstellen, die allein verheerend, aber zusammen katastrophal sind.
CVE-2026-81578 (CVSS 8,8) ist eine Authentifizierungsumgehung in der Web-Verwaltungsoberfläche von PaperCut. Unter bestimmten Bedingungen können nicht authentifizierte Remote-Anfragen, die auf Verwaltungsfunktionen abzielen, Backend-Aktionen auslösen, bevor die Zugriffsvalidierungsprüfungen abgeschlossen sind. In einfachen Worten: Ein Angreifer kann Administratorfunktionen erreichen, ohne jemals ein Passwort anzugeben.
CVE-2026-82078 (CVSS 9,4) ist eine unsichere dynamische Klassenladefehler in den Datenbankverbindungsdienstprogrammen. Die Anwendung lädt Datenbanktreiberklassen basierend auf konfigurierbaren Treibernamen, ohne sie gegen eine genehmigte Positivliste zu validieren. Wenn ein Angreifer Systemkonfigurationsparameter manipulieren kann, kann er beliebigen Java-Bytecode unter dem Sicherheitskontext des PaperCut-Serverprozesses ausführen.
Zusammen erzeugen diese Schwachstellen eine saubere Pre-Authentifizierungs-Remote-Codeausführungskette. Wie Jake Knott von watchTowr erklärte: "CVE-2026-81578 ermöglicht es, die Authentifizierung zu umgehen, und von dort aus kann man eine Konfigurationsdatei bearbeiten, um CVE-2026-82078 auszunutzen und Remote Code Execution zu erlangen."
Aktive Ausnutzung in der Wildnis
Dies war keine theoretische Übung. Huntress beobachtete die Ausnutzung in zwei Kundenumgebungen am 26.-27. August, wobei die Angreiferaktivität auf Systemerkennungsbefehle wie whoami, ver und tasklist konzentriert war, zusammen mit starker Anti-Forensik-Aktivität.
Die Angreifer waren methodisch. Sie erlangten Zugang über die Authentifizierungsumgehung, änderten die Systemkonfiguration, um eine bösartige Java-Klasse zu laden, und führten dann Aufklärungsbefehle aus, um die kompromittierte Umgebung zu verstehen, bevor sie ihre Spuren verwischten.
Was dies besonders gefährlich macht, ist, dass PaperCut-Server oft von Design aus internetzugänglich sind. Organisationen setzen sie ein, um Mitarbeitern das Drucken von überall zu ermöglichen. Diese Bequemlichkeit wurde gerade zu einer offenen Tür.
Der Patch, der nicht ausreichte
Hier wird die Geschichte alarmierend. PaperCut veröffentlichte am 27. August einen ersten Notfallpatch. Innerhalb von Stunden reproduzierten watchTowr-Forscher die Schwachstellen vollständig, entdeckten mehrere Umgehungen für den ersten Patch und identifizierten eine zusätzliche Authentifizierungsumgehungsschwachstelle.
Dies zwang PaperCut, am 28. August den Emergency Patch Release 2 zu veröffentlichen, der zusätzliche Härtung enthält, die in Zusammenarbeit mit Huntress und watchTowr entwickelt wurde.
"Wenn Sie nur den ersten Patch angewendet haben, sind Sie nicht geschützt," warnte PaperCut. Dies ist eine kritische Unterscheidung für IT-Teams, die möglicherweise am Mittwoch gepatcht haben und am Donnerstag sicher waren.
Die unpatchbare Mehrheit
Vielleicht die eindringlichste Statistik kommt von Huntress: Ungefähr 47% der etwa 2.500 PaperCut-Installationen, die sie verfolgen, laufen mit Version 23 oder älter. Für diese Systeme gibt es keinen Notfallpatch. Der einzige Weg ist ein vollständiges Upgrade.
Das bedeutet, dass fast die Hälfte aller bekannten PaperCut-Installationen gegen diese Schwachstellenkette nicht gepatcht werden können, ohne ein Hauptversions-Upgrade durchzuführen — ein Prozess, der typischerweise Planung, Tests und Ausfallzeiten erfordert, die viele Organisationen nicht auf kurze Ankündigung organisieren können.
Erkennung und Reaktion
Die gute Nachricht ist, dass die Erkennung jetzt machbar ist. Vom Anbieter bestätigte Log-Signaturen umfassen:
ERROR DatabaseUtils - Database error looking up cardID: VALUES CASTERROR No suitable driver found for jdbc:no:x- Die
jdbc:derby:memory:pwnBrotkruste in Server-Logs
Sicherheitsteams sollten sofort:
- Ihre Version prüfen. Wenn Sie PaperCut NG oder MF ausführen, bestätigen Sie, ob Sie auf v24 oder neuer sind. Wenn Sie auf v23 oder älter sind, planen Sie ein Notfall-Upgrade.
- Emergency Patch Release 2 anwenden. Auch wenn Sie bereits den ersten Patch installiert haben, ist Release 2 obligatorisch. Der erste Patch wurde umgangen.
- Ihre Logs prüfen. Suchen Sie nach den oben genannten Indikator-Strings. Wenn Sie sie finden, gehen Sie von einem Kompromiss aus und beginnen Sie die Incident Response.
- Zugang einschränken. Wenn Sie nicht sofort patchen können, nehmen Sie die Web-Verwaltungsoberfläche aus dem öffentlichen Internet. VPN-only-Zugang ist eine gangbare Übergangslösung.
- Folgeaktivität überwachen. Angreifer, die Zugang erlangten, möglicherweise Persistenz eingerichtet haben. Prüfen Sie auf neue Benutzerkonten, geplante Aufgaben und ungewöhnliche Netzwerkverbindungen.
Was das für Ihr Unternehmen bedeutet
Der PaperCut-Vorfall ist ein Weckruf bezüglich des Lieferkettenrisikos in der alltäglichen Infrastruktur. Druckverwaltungssoftware ist nicht glamourös. Sie erhält nicht die gleiche Sicherheitsprüfung wie Ihr Identitätsanbieter oder Ihre Cloud-Plattform. Aber sie sitzt in Ihrem Netzwerk, läuft mit erhöhten Privilegien und zeigt oft ins Internet.
Dieses Muster — Angreifer, die auf übersehene Infrastruktursoftware abzielen — beschleunigt sich. Von PaperCut über MOVEit bis Barracuda, die Lektion ist konsequent: Wenn es verbunden ist, ist es ein Ziel.
Für Organisationen im Nahen Osten und darüber hinaus ist jetzt der Zeitpunkt, Ihre internetzugänglichen Assets zu prüfen. Nicht nur die off offensichtlichen. Der Druckserver, die Backup-Konsole, die Verwaltungsoberfläche, die "niemand nutzt" — das sind genau die Türen, durch die Angreifer gehen.
Das Fazit: Patchen Sie PaperCut auf Release 2 heute. Wenn Sie nicht patchen können, isolieren Sie. Und während Sie dabei sind, fragen Sie sich, welche andere "einrichten und vergessen"-Infrastruktur in Ihrem Netzwerk sitzt und darauf wartet, entdeckt zu werden.