Angreifer nutzen zwei Schwachstellen in PaperCut NG und PaperCut MF aktiv gegen Schulen und Hochschulen aus. Die Angriffskette aus CVE-2026-81578 und CVE-2026-82078 ermöglicht eine nicht authentifizierte Codeausführung. Beobachtete Angriffe dienten unter anderem dazu, Zugangsdaten zu sammeln, privilegierte Konten anzulegen und kompromittierte Systeme auszukundschaften.
Das Arctic Wolf Adversary Research Team hat entsprechende Aktivitäten bei Bildungseinrichtungen in den USA und Europa festgestellt – von allgemeinbildenden Schulen bis zu großen Universitäten. Für Betreiber reicht es deshalb nicht, lediglich die aktuelle Version einzuspielen. Wenn ein PaperCut-Server vor dem Update aus dem Internet erreichbar war, muss zusätzlich geprüft werden, ob der Rechner bereits kompromittiert wurde.
Zwei Schwachstellen bilden die Angriffskette
CVE-2026-81578 ist eine Schwachstelle in der Zugangskontrolle, die eine Umgehung der Authentifizierung erlaubt. Sie wird nach CVSS 4.0 mit 8,8 von 10 Punkten als hoch eingestuft. CVE-2026-82078 betrifft das unsichere dynamische Laden von Klassen in den Datenbankwerkzeugen der Software. Diese Lücke erreicht einen CVSS-4.0-Wert von 9,4 und gilt als kritisch.
Beobachtete PaperCut-Angriffskette
Die Grafik zeigt den Weg vom erreichbaren PaperCut-Server über Authentifizierungs-Bypass und Codeausführung bis zur Suche nach Zugangsdaten.
In Kombination können die Fehler für Remote Code Execution ohne vorherige Anmeldung verwendet werden. Betroffen sind alle Versionen von PaperCut NG und PaperCut MF. Besonders gefährdet sind Application Server, die direkt aus dem Internet erreichbar sind: Angreifer benötigen in diesem Fall weder ein vorhandenes Benutzerkonto noch reguläre Zugriffsrechte.
PaperCut veröffentlichte die Schwachstellen am 27. August 2026 und stellte in kurzer Folge mehrere Notfallaktualisierungen bereit. Der am 1. September veröffentlichte Stand „Emergency Patch Release 3“ ist für die Produktlinien 24, 25 und 26 in den Versionen 24.1.10, 25.0.13 und 26.0.5 enthalten. Installationen der Version 23 oder älter müssen zunächst auf eine aktuelle Hauptversion gebracht und anschließend gepatcht werden.
Die Angriffe gehen über den PaperCut-Server hinaus
Nach der erfolgreichen Ausnutzung führten die Angreifer Befehle wie whoami, tasklist, ver und uname aus. Damit ermittelten sie Betriebssystem, Benutzer, Prozesse und weitere Eigenschaften der angegriffenen Rechner. In mindestens einem beobachteten Ablauf wurde zudem ein privilegiertes Konto mit dem Namen Administrator17 erstellt.
Weitere Aktivitäten zielten auf Zugangsdaten und lokale Windows-Geheimnisse. Von der Adresse 45.142.193[.]132 wurden Werkzeuge mit Namen wie lsa_collect.exe, lsa_collect_small.exe und save_hives.exe über das Windows-Programm certutil.exe nachgeladen. Eines dieser Werkzeuge sammelte Registry-Schlüssel, aus denen sich der System-BootKey rekonstruieren lässt. Dieser kann wiederum den Zugriff auf die lokale SAM-Datenbank ermöglichen.
Die Angreifer durchsuchten außerdem PaperCut-Konfigurationsdateien nach Begriffen wie password, secret, ldap, bind und token. Meterpreter-Payloads auf Java-Basis wurden von 194.180.48[.]134 abgerufen und für Sitzungen mit kompromittierten Systemen verwendet. Eingehende Anfragen auf Pfade wie /custom/pcp_*.txt und /custom/web/pcp_*.txt können auf abgelegte System- und Benutzerdaten hinweisen.
Damit liegt das operative Risiko nicht nur in der Kontrolle über den Druckmanagement-Server. Gesammelte LDAP-Zugangsdaten, Tokens oder lokale Kontoinformationen können Wege zu weiteren Systemen der Einrichtung öffnen. Ob diese Ausweitung in jedem Fall gelungen ist, ist nicht belegt; die beobachteten Such- und Sammelbefehle zeigen jedoch klar, worauf die Angreifer zielten.
Aktive Ausnutzung ist bestätigt
Bei den beiden CVEs handelt es sich nicht nur um theoretisch ausnutzbare Fehler. Arctic Wolf hat Angriffe beobachtet, und die US-Sicherheitsbehörde CISA nahm beide Schwachstellen bis zum 1. September in ihren Katalog der nachweislich ausgenutzten Sicherheitslücken auf. Für US-Bundesbehörden sind damit verbindliche Behebungsfristen verbunden.
Zusätzlich existiert ein Metasploit-Modul, mit dem sich die Anfälligkeit für die Exploit-Kette überprüfen lässt. Das ist von den beobachteten Meterpreter-Payloads zu unterscheiden: Das Modul macht eine technische Validierung reproduzierbarer, während die Payloads bereits Teil festgestellter Aktivitäten nach einer Kompromittierung waren.
Patchen stoppt die Lücke, beseitigt aber keinen Einbruch
Betreiber sollten zunächst feststellen, welcher PaperCut-Stand tatsächlich läuft. Version 24 muss mindestens auf 24.1.10, Version 25 auf 25.0.13 und Version 26 auf 26.0.5 aktualisiert werden. Ältere Installationen benötigen ein Upgrade. PaperCut empfiehlt außerdem, internetseitig erreichbare Application Server auf Verbindungen von vertrauenswürdigen IP-Adressen zu beschränken.
Parallel sollten Protokolle und Endpunkte auf die genannten IP-Adressen, Dateinamen, URL-Pfade und das Konto Administrator17 untersucht werden. Ebenfalls auffällig ist die Ausführung von cmd.exe, powershell.exe oder anderen Kommandointerpretern, wenn pc-app.exe als übergeordneter Prozess erscheint. Die genannten Discovery-Befehle sind einzeln nicht zwingend bösartig; in dieser Prozessbeziehung und zeitlicher Nähe zu verdächtigen Webanfragen erhalten sie jedoch forensische Relevanz.
Bei konkreten Treffern sollte der betroffene Server nicht als durch das Update bereinigt gelten. Dann sind Isolation, Beweissicherung und eine Prüfung potenziell offengelegter lokaler Konten, LDAP-Bind-Zugänge, Passwörter und Tokens erforderlich. Zugangsdaten sollten erst nach einer belastbaren Eingrenzung des Vorfalls aus einer sauberen Umgebung geändert werden.
Der Patch-Stand ist nur die halbe Bestandsaufnahme
Die schnelle Folge mehrerer Notfall-Patches macht eine genaue Versionskontrolle wichtiger als die bloße Feststellung, dass „ein PaperCut-Update“ installiert wurde. Entscheidend ist der konkrete Build. Ebenso wichtig ist der Zeitraum vor dem Update: Eine heute geschlossene Instanz kann gestern bereits Werkzeuge nachgeladen oder Geheimnisse preisgegeben haben.
Gerade Druckmanagement wird operativ häufig als Nebeninfrastruktur behandelt. PaperCut sitzt jedoch auf einem Server, verarbeitet administrative Konfigurationen und kann Verbindungen zu Verzeichnisdiensten enthalten. Die beobachteten Angriffe nutzen genau diese Position. Für betroffene Schulen und Hochschulen besteht die Aufgabe deshalb aus zwei getrennten Arbeiten: die Angriffskette schließen und anschließend feststellen, ob sie bereits benutzt wurde.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
