Ein zweiter Notfall-Patch ist selten nur eine Versionsnotiz. Bei PaperCut NG und MF ist er ein Signal an Administratoren: Wer nach dem ersten Update bereits Entwarnung gegeben hat, muss noch einmal ran.
PaperCut hat für seine Druckmanagement-Software ein weiteres Sicherheitsupdate veröffentlicht, nachdem die ursprünglichen Korrekturen offenbar nicht ausreichten. Nach der Originalmeldung von BleepingComputer geht es um zwei aktiv ausgenutzte Schwachstellen, die in Kombination eine nicht authentifizierte Remote Code Execution ermöglichen können. Betroffen sind PaperCut NG und PaperCut MF, also Systeme, die in Unternehmen, Hochschulen, Verwaltungen und anderen größeren Organisationen häufig tief in die interne Infrastruktur eingebunden sind.
Die praktische Konsequenz ist nüchtern: Release 2 installieren. Auch dann, wenn der erste Notfall-Patch bereits eingespielt wurde.
Der heikle Punkt ist nicht der Drucker
PaperCut wird oft als Druckmanagement wahrgenommen. Quoten, Abrechnung, Freigabe am Gerät, zentrale Verwaltung. Aus Sicherheitssicht hängt daran aber mehr als die Frage, wer wie viele Seiten druckt. Die Anwendung verwaltet Benutzer, spricht mit Verzeichnisdiensten, hängt an internen Systemen und ist in vielen Umgebungen über Weboberflächen administrierbar.
Genau deshalb sind solche Systeme unangenehme Ziele. Sie stehen nicht immer im Zentrum der Sicherheitsarchitektur, haben aber häufig genug Zugriff, um nach einer Kompromittierung operative Probleme auszulösen. Ein Druckserver ist kein Randgerät, wenn er als Anwendung im Unternehmensnetz läuft und von zentralen Identitäten, Datenbanken oder Verwaltungsprozessen berührt wird.
Die aktuellen Schwachstellen werden als CVE-2026-81578 und CVE-2026-82078 geführt. CVE-2026-81578 betrifft einen Authentifizierungs-Bypass in der Webmanagement-Oberfläche und wird mit CVSS 8.8 bewertet. CVE-2026-82078 wird mit CVSS 9.4 bewertet und hängt mit unsicherem dynamischem Laden von Klassen in Datenbankverbindungs-Werkzeugen zusammen. Entscheidend ist die Verkettung: Zusammen können die Lücken laut Berichten zur Ausführung von Code ohne vorherige Anmeldung führen.
Warum der zweite Patch zählt
Der zweite Notfall-Patch ist der Kern der Meldung. Nicht, weil Updates ungewöhnlich wären. Sondern weil hier die erste Gegenmaßnahme nicht das Ende der Angriffsmöglichkeit bedeutete. Sicherheitsforscher fanden demnach Wege, die ursprünglichen Fixes zu umgehen. PaperCut reagierte mit Release 2.
Für Betreiber verschiebt sich damit die Bewertung. Wer nur prüft, ob irgendein August-Notfallpatch installiert wurde, kann danebenliegen. Relevant ist die genaue Patch-Stufe. Das ist ein klassisches Problem in Incident-Situationen: Der Status „gepatcht“ klingt eindeutig, ist es aber nicht, wenn mehrere außerplanmäßige Builds kurz hintereinander erscheinen.
Huntress, das während des Vorfalls mit PaperCut zusammenarbeitete, berichtete über beobachtete Ausnutzung in Kundenumgebungen und über die Reproduktion einer vollständigen Pre-Auth-RCE-Kette. Das ist keine abstrakte Laborlücke. Es geht um Angriffe, die bereits gegen reale Installationen laufen.
Exponierte Server sind der erste Prüfpunkt
Die wichtigste Sofortfrage für Administratoren lautet nicht, wie elegant die Schwachstellen technisch funktionieren. Sie lautet: Ist der PaperCut-Anwendungsserver aus dem Internet erreichbar?
PaperCut-Kunden, die NG oder MF öffentlich erreichbar betreiben, sollten den Zugriff sofort auf vertrauenswürdige IP-Adressen begrenzen. Das ersetzt kein Update, reduziert aber die Angriffsfläche, während Systeme geprüft, aktualisiert und überwacht werden. In Umgebungen mit mehreren Standorten, externen Dienstleistern oder Fernzugriffen ist diese Prüfung oft weniger trivial, als sie klingt. Alte Firewall-Regeln, temporäre Freigaben und Ausnahmen für Support-Zugänge sind genau die Stellen, an denen solche Systeme länger offen bleiben als geplant.
Für die Versionen 24, 25 und 26 stehen laut den vorliegenden Informationen Patches bereit. Organisationen sollten nicht nur das Update einspielen, sondern anschließend verifizieren, dass tatsächlich Release 2 aktiv ist. Dazu gehört auch die Kontrolle von Logs, ungewöhnlichen Anmeldeereignissen und unerwarteten Prozessen auf dem Server. Bei bereits exponierten Instanzen reicht ein Patch allein unter Umständen nicht, um einen vorherigen Zugriff auszuschließen.
Der alte PaperCut-Fall ist der Warnhinweis
PaperCut hatte bereits 2023 einen prominenten Sicherheitsvorfall erlebt. Damals wurde CVE-2023-27350, eine Schwachstelle mit Authentifizierungs-Bypass und Remote Code Execution, von unterschiedlichen Akteuren ausgenutzt. In späteren Zuordnungen tauchten unter anderem Ransomware-Gruppen wie Clop und LockBit sowie staatlich unterstützte Gruppen auf.
Das bedeutet nicht, dass dieselben Akteure hinter den aktuellen Angriffen stehen. Es zeigt aber, warum die Softwareklasse auf Angreiferlisten steht. Druckmanagement ist in vielen Organisationen vorhanden, wird selten mit derselben Aufmerksamkeit behandelt wie VPN-Gateways oder Identitätsplattformen und kann dennoch einen brauchbaren Einstiegspunkt liefern.
Der operative Fehler wäre deshalb, PaperCut als Nischensystem abzutun. In größeren Netzen sind solche Anwendungen Teil der Verwaltungsinfrastruktur. Sie verdienen dieselbe Patch-Disziplin wie öffentlich erreichbare Portale, Fernzugriffssysteme und zentrale Management-Tools.
Was jetzt zu tun ist
Die Handlungsreihenfolge ist klar. Erstens: feststellen, ob PaperCut NG oder MF im Einsatz ist und welche Version aktiv läuft. Zweitens: Release 2 des Notfall-Patches installieren, auch wenn der erste Notfall-Patch bereits eingespielt wurde. Drittens: öffentliche Erreichbarkeit prüfen und, wo möglich, auf vertrauenswürdige IP-Adressen begrenzen. Viertens: Systeme auf Hinweise einer Ausnutzung untersuchen.
Der Fall ist keine Geschichte über Drucker. Er ist ein Beispiel dafür, wie unscheinbare Verwaltungssoftware zum Angriffsweg werden kann, wenn sie im Netz erreichbar ist und eine Weboberfläche mit tiefer Systemanbindung betreibt. Der zweite Notfall-Patch nimmt Betreibern die bequemste Annahme: dass der erste schnelle Fix das Thema erledigt hat.
Bei aktiv ausgenutzten Lücken ist das kein Detail. Es ist der Unterschied zwischen dokumentierter Wartung und tatsächlicher Risikoreduktion.
