Zwei kürzlich geschlossene Sicherheitslücken in PaperCut NG und PaperCut MF werden aktiv für Datendiebstahl ausgenutzt. Die als CVE-2026-81578 und CVE-2026-82078 erfassten Schwachstellen lassen sich verketten, um die Anmeldung zu umgehen und anschließend Code auf einem verwundbaren Printmanagement-Server auszuführen.
Beobachtete Angriffe nutzen bislang jedoch nicht nur den öffentlich beschriebenen Weg zur Remote Code Execution. Nach Angaben des Threat-Intelligence-Anbieters Defused manipuliert mindestens ein Akteur über den Authentifizierungs-Bypass die externe Benutzersuche von PaperCut und liest Datenbanktabellen über Derby aus. Entsprechende Aktivitäten registrierte das Unternehmen seit dem 29. August 2026 in seinen Honeypots.
Betroffen sind Betreiber von PaperCut NG und MF, insbesondere wenn ihre Verwaltungsserver aus dem Internet erreichbar sind. PaperCut zufolge verwenden rund 100 Millionen Nutzer in mehr als 70.000 Organisationen die Software, darunter Unternehmen, Behörden und Bildungseinrichtungen. Diese Gesamtzahl sagt allerdings nichts darüber aus, wie viele Installationen verwundbar oder öffentlich zugänglich sind.
Zwei Schwachstellen mit unterschiedlichen Funktionen
CVE-2026-81578 erreicht einen CVSS-Wert von 8,8. Die Lücke ermöglicht einem nicht authentifizierten Angreifer, die Anmeldung zu umgehen und Systemkonfigurationen zu verändern. Bereits dieser Zugriff kann für den beobachteten Datenabfluss ausreichen: Die Angreifer verändern die externe Benutzerabfrage und nutzen sie, um Tabellen aus der Datenbank auszulesen.
Beobachteter und möglicher Angriffsweg bei PaperCut
Die Grafik unterscheidet den beobachteten Diebstahl von Datenbanktabellen vom technisch möglichen Weg zur Remote Code Execution.
CVE-2026-82078 wird mit 9,4 bewertet und betrifft das unsichere dynamische Laden von Klassen in den Dienstprogrammen für Datenbankverbindungen. Darüber lässt sich beliebiger Java-Bytecode ausführen. In Verbindung mit dem Authentifizierungs-Bypass entsteht somit ein Weg zur Ausführung von Code auf dem Server.
Wichtig ist die Unterscheidung: Die Verkettung kann technisch zu Remote Code Execution führen. Konkret beobachtet und bestätigt ist derzeit außerdem der Diebstahl von Datenbankinhalten. PaperCut hat die Angriffe bislang keinem Akteur zugeschrieben und nicht öffentlich erläutert, welche weiteren Aktionen nach erfolgreichen Kompromittierungen stattfinden.
PaperCut empfiehlt den zweiten Patch-Stand
PaperCut veröffentlichte am 27. und 28. August zwei aufeinanderfolgende Runden von Notfall-Patches. Für die Versionszweige 24, 25 und 26 empfiehlt der Hersteller Release 2 als umfassendere Behebung. Betreiber sollen diesen Stand auch dann installieren, wenn sie den ersten Notfall-Patch bereits eingespielt haben.
Konkrete Buildnummern für sämtliche betroffenen und bereinigten Ausgaben gehen aus den vorliegenden Angaben nicht hervor. Administratoren sollten deshalb den tatsächlich installierten Build direkt mit der aktuellen PaperCut-Sicherheitsmeldung abgleichen und sich nicht allein auf die Hauptversion verlassen. Entscheidend ist nicht, ob eine Installation nominell zu Version 24, 25 oder 26 gehört, sondern ob der zweite, vom Hersteller empfohlene Patch-Stand vollständig installiert wurde.
Die US-Sicherheitsbehörde CISA nahm beide CVEs am 31. August in ihren Katalog der nachweislich ausgenutzten Schwachstellen auf. US-Bundesbehörden müssen die Lücken demnach bis zum 14. September 2026 beheben. Diese Frist gilt nicht automatisch für andere Organisationen; die Aufnahme in den KEV-Katalog bestätigt aber, dass es sich nicht lediglich um eine theoretische Angriffsmöglichkeit handelt.
Mehr als 800 Server sind im Internet sichtbar
Shadowserver erfasste zuletzt mehr als 800 aus dem Internet erreichbare PaperCut-NG- und MF-Server. Aus dieser Messung lässt sich weder ableiten, wie viele davon ungepatcht sind, noch wie viele als Honeypots dienen oder bereits kompromittiert wurden. Sie beschreibt dennoch die unmittelbar erreichbare Angriffsfläche.
Für die praktische Risikobewertung ist diese Exponierung zentral. CVE-2026-81578 verlangt keine vorherige Authentifizierung. Ein öffentlich erreichbarer und ungepatchter Server kann deshalb angegriffen werden, ohne dass zunächst Zugangsdaten gestohlen werden müssen. Wo ein Zugriff aus dem offenen Internet betrieblich nicht notwendig ist, sollte er unterbunden werden. Andernfalls sollte der Zugang auf vertrauenswürdige Netze oder IP-Adressen beschränkt werden.
Ein Update beendet keinen bereits erfolgten Zugriff
PaperCut hat zusätzlich Indicators of Compromise veröffentlicht. Betreiber sollten daher nicht nur Release 2 installieren, sondern ihre Systeme auf Spuren einer vorherigen Ausnutzung untersuchen. Dazu gehören insbesondere unerwartete Änderungen an der externen Benutzersuche, auffällige Datenbankabfragen und Zugriffe, die zeitlich vor dem Update liegen. Werden Hinweise auf einen erfolgreichen Angriff gefunden, ist der Server als potenziell kompromittiert zu behandeln und in den regulären Incident-Response-Prozess einzubeziehen.
Das ist der operative Unterschied zwischen einer gewöhnlichen Patch-Meldung und einem aktiv ausgenutzten Zero-Day: Der neue Softwarestand schließt den bekannten Einstieg für künftige Versuche, beseitigt aber weder bereits entwendete Daten noch mögliche Veränderungen am System. Je länger ein exponierter Server vor dem zweiten Patch-Stand erreichbar war, desto wichtiger wird deshalb die rückwirkende Prüfung.
Printmanagement bleibt ein attraktiver Einstiegspunkt
PaperCut-Systeme waren bereits mehrfach Ziel professioneller Angreifer. Im Jahr 2023 wurden die Schwachstellen CVE-2023-27350 und CVE-2023-27351 in Angriffen ausgenutzt, die unter anderem LockBit, Clop sowie den iranischen Gruppen Muddywater und APT35 zugeschrieben wurden. Auch die Bl00dy-Ransomware-Gruppe nutzte damals eine PaperCut-Lücke als ersten Zugang zu fremden Netzen. 2025 stufte CISA mit CVE-2023-2533 eine weitere Schwachstelle als aktiv ausgenutzt ein.
Die Attraktivität solcher Systeme ergibt sich nicht allein aus ihrer Verbreitung. Printmanagement-Server sind zentrale Infrastrukturdienste, verarbeiten Benutzer- und Konfigurationsdaten und werden teilweise für die Administration von außen erreichbar gemacht. Im aktuellen Fall reicht die Umgehung der Anmeldung bereits für einen konkreten Datenabfluss; die zweite Lücke erweitert die mögliche Wirkung bis zur Codeausführung. Für Betreiber ist daher nicht nur der Patch-Status entscheidend, sondern ebenso die Frage, warum die Verwaltungsoberfläche überhaupt aus dem Internet erreichbar sein muss.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
