Der Softwarehersteller PaperCut hat am 28. August 2026 mit dem „Emergency Patch Release 2“ eine zweite Welle von Sicherheitsaktualisierungen für seine Produkte PaperCut NG und MF bereitgestellt.
Hintergrund sind zwei Zero-Day-Schwachstellen, die laut Berichten von Sicherheitsforschern bereits aktiv für Angriffe ausgenutzt werden. Die Patches adressieren die Sicherheitslücken CVE-2026-81578 und CVE-2026-82078, welche die Versionen 24 bis 26 der Software betreffen.
Verkettung von Schwachstellen ermöglicht Fernzugriff
Die aktuelle Bedrohungslage resultiert aus einer Kombination zweier Schwachstellen, die zusammengenommen eine nicht authentifizierte Codeausführung (Remote Code Execution, RCE) ermöglichen.
CVE-2026-81578 ermöglicht eine Authentifizierungsumgehung (Authentication Bypass) und ist mit einem CVSS-Wert von 8.8 eingestuft. Die zweite Lücke, CVE-2026-82078, betrifft ein unsicheres Laden von Klassen und weist mit einem Wert von 9.4 ein noch höheres Risikopotenzial auf.
Sicherheitsanalysten von Huntress konnten diese RCE-Kette bereits reproduzieren und dokumentierten einen erfolgreichen Angriff gegen die Version PaperCut NG 25.0.11.75758. Berichte von itfan.ro legen nahe, dass Angriffe auf verwundbare Server bereits am 26. August 2026 begannen. Nur einen Tag später, am 27. August 2026, wurde die aktive Ausnutzung der verketteten Schwachstellen offiziell bestätigt.
Notwendigkeit der zweiten Patch-Runde
Die Veröffentlichung des zweiten Notfall-Patches am 28. August 2026 wurde erforderlich, nachdem für die ursprünglichen Fixes der ersten Patch-Runde Umgehungsmöglichkeiten entdeckt worden waren. Die neuen Sicherheitsupdates stehen derzeit für die Versionen 25 und 26 auf den Betriebssystemen Windows, Linux und macOS zur Verfügung. Für die Version 24 befindet sich ein entsprechender Patch laut Herstellerangaben noch in der Entwicklung.
Wer sich mit der Absicherung kritischer Infrastruktur befasst, sollte proaktiv auf aktuelle Bedrohungslagen reagieren. Dieses kostenlose E-Book liefert fundierte Informationen zu Cyberbedrohungen und zeigt, wie Sie Sicherheitslücken ohne hohe Investitionen schließen. IT-Sicherheits-Guide für Unternehmen jetzt kostenlos herunterladen
Organisationen, die ältere Versionen wie PaperCut 23 oder davor einsetzen, erhalten keinen direkten Patch. Da alle Versionen potenziell gefährdet sind, wird diesen Betrieben dringend ein Upgrade auf eine aktuellere Version empfohlen. Daten von Huntress verdeutlichen das Ausmaß des Risikos: Von etwa 2.500 überwachten Installationen laufen rund 47 % auf Version 23 oder älter und verfügen somit über keinen Schutz gegen die aktuelle Angriffswelle.
Ausmaß der Exposition und Angriffsmuster
Nach Analysen von ShadowServer sind weltweit etwa 1.000 PaperCut-Instanzen über das Internet erreichbar und somit potenziell exponiert. Beobachtungen zeigen, dass Angreifer nach einer erfolgreichen Kompromittierung Fernzugriffswerkzeuge wie SimpleHelp oder AnyDesk installieren, um dauerhafte Zugänge zu den Servern zu etablieren.
Zu den beobachteten Befehlen, die Angreifer auf den Systemen ausführen, gehören Standardwerkzeuge zur Systemanalyse wie whoami, ver und tasklist. Sicherheitsdienstleister weisen zudem auf spezifische Indikatoren für eine Kompromittierung (Indicators of Compromise, IoCs) hin.
Immer mehr Unternehmen geraten ins Visier professioneller Angreifer, die gezielt technische und menschliche Schwachstellen ausnutzen. Experten erklären in diesem kostenlosen Report, welche Präventionsmaßnahmen jetzt entscheidend sind, um Ihr Unternehmen proaktiv zu schützen. Kostenlose Checkliste zur Hacker-Abwehr sichern
Dazu zählen Einträge wie jdbc:derby:memory:pwn, die Dateien Udydn.class sowie Moo97.class und die ausführbare Datei pc-app.exe. Ein weiteres Warnsignal ist die gezielte Löschung der Datei server.log, um Spuren des Angriffs zu verwischen.
Empfehlungen für Administratoren
Sicherheitsexperten raten dringend dazu, die verfügbaren Notfall-Patches umgehend zu installieren. Ergänzend dazu sollte der öffentliche Zugriff auf PaperCut-Instanzen aus dem Internet blockiert werden. Administratoren sind aufgerufen, ihre Systemprotokolle auf die genannten Indikatoren zu prüfen und insbesondere die Integrität der Log-Dateien zu verifizieren.
Die US-Fernmeldebehörde CISA hatte bereits in der Vergangenheit frühere Schwachstellen des Herstellers in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen, was die anhaltende Relevanz der Absicherung dieser Systeme unterstreicht.
