Angreifer knacken PaperCut Notfallpatch am ersten Tag

Die US-Behörde CISA führt zwei PaperCut-Lücken seit dem 31. August als aktiv ausgenutzt. Der erste Notfallpatch wurde noch am Ausgabetag umgangen, erst der dritte Stand hält; hinterlegte Fernwartungsprogramme entfernt das Update nicht. Jake Knott von WatchTowr stuft ungepatchte Server im Internet als kompromittiert ein.

Verwandt: LoadMaster in der KEV-Liste: Patch liegt seit Juni bereit  ·  CISA listet Ray: Browser starten Cluster-Jobs ohne Login

CISA nimmt PaperCut in den Katalog

Die US-Behörde CISA ergänzte am 31. August 2026 den Known Exploited Vulnerabilities Catalog. Die Behörde stützt die Aufnahme auf Belege für aktive Ausnutzung.

Neu sind CVE-2026-81578 (fehlende Anmeldung) und CVE-2026-82078 (unsicheres Nachladen von Code) in PaperCut NG/MF, einer Software für Druckkontingente und Abrechnung. Unsichere Reflection heißt hier: Der Server lädt Java-Code nach, dessen Namen die Anfrage vorgibt, ohne ihn gegen erlaubte Treiber zu prüfen.

PaperCut NG/MF steuert Druckkontingente, Abrechnung und Freigaben in Firmen, Behörden und Hochschulen. Der Application Server bringt eine Weboberfläche mit, die oft aus dem Netz erreichbar bleibt.

Die CISA verpflichtet die US-Zivilbehörden zum Schließen der aufgenommenen Katalogeinträge. Die Tabelle am Artikelende führt die Patchfrist für diese US-Zivilbehörden.

Für deutsche Betreiber entsteht aus dem Eintrag keine gleichartige Patchpflicht. Der Katalog sagt ihnen trotzdem, dass Angreifer diese Lücke abarbeiten.

Die Behörde schreibt, dass sich die beiden Lücken zu einer Kette verbinden lassen. Ob Ransomware-Banden die verketteten Lücken nutzen, stuft der Katalog als unbekannt ein.

Angreifer ändern die Datenbank ohne Login

Über CVE-2026-81578 erreicht eine Anfrage ohne Anmeldung Verwaltungsfunktionen, bevor die Zugriffsprüfung greift. Die Weboberfläche nimmt die Anfrage an, bevor sie ein Konto prüft.

Damit ändert der Angreifer, aus welcher Datenbank PaperCut Karten- und Benutzerdaten liest. Die Webverwaltung nimmt die Anfrage an, ohne ein gültiges Konto zu verlangen.

PaperCut lädt den Datenbanktreiber anhand dieses übergebenen Namens aus der Anfrage. Der Server prüft den Namen nicht gegen eine Liste erlaubter Treiber.

Der Angreifer bringt so eigenen Java-Code im Druckserver-Prozess zum Laufen. Dieses Nachladen von Code ist die unsichere Reflection aus dem Katalog.

Hochschule liefert die Angriffsspur

Das DFIR-Team einer Hochschule lieferte dem Hersteller die Spur zum Nachbau. DFIR bezeichnet dabei die digitale Spurensuche nach einem Einbruch in Netzen.

Huntress, eine Sicherheitsfirma für kleine und mittlere Betriebe, hat die Kette gegen eine unveränderte PaperCut NG nachgebaut. Die Firma sah Ausnutzung in zwei Kundenumgebungen und blieb dort bei der Auskundschaftung der Systeme.

PaperCut bestätigt in einer eigenen Mitteilung Vorfälle in Kundennetzen.

Jake Knott von WatchTowr zieht daraus eine Folgerung zur Lage ungepatchter Server. Ein Server, der in diesen Tagen ungepatcht im Internet stand, gilt ihm als kompromittiert. Das Herstellerbulletin zeigt an den Spuren, ob jemand schon weiter war als ein Scan nach offenen Lücken.

PaperCut legt Notfallpatches nach

PaperCut behandelt alle Stände von NG und MF als potenziell betroffen. Der Hersteller grenzt in seinem Bulletin keine Versionsschiene als sicher aus.

Shadowserver, eine gemeinnützige Organisation, sucht das Internet nach verwundbaren Systemen ab. Am 31. August zählte sie mindestens 204 noch angreifbare Systeme bei rund 1.000 öffentlich erreichbaren PaperCut-Servern; der erste Notfallpatch hatte die Fläche also nicht geschlossen.

PaperCut veröffentlichte am 28. August einen Notfallpatch für NG und MF. Die Angreifer umgingen diesen ersten Stand noch am selben Tag nach der Ausgabe.

Noch am selben Abend folgte ein zweiter Stand, weil Angreifer den ersten noch am Ausgabetag umgangen hatten.

Den dritten Stand schob PaperCut am 1. September für NG und MF nach. Der Hersteller hatte nach eigenen Angaben weitere Angriffswege an echten Zielen beobachtet.

Dieses Release ist kumulativ und ersetzt die beiden Vorgänger vollständig. Laut Rapid7, einem Unternehmen für Sicherheitsanalysen, zählen erst die kumulativen Builds vom 1. September; die Stände vom 28. August bleiben durchlässig.

Der Patch lässt Fernwartung laufen

Der Sensorbetreiber Defused beobachtet seit dem 29. August in Ködersystemen einen zweiten Pfad. Ködersysteme, im Fachenglisch Honeypots, sind offene Server zu Beobachtungszwecken im Netz.

Die Täter nutzen die erste Lücke, um die Benutzerabfrage umzuleiten. Danach ziehen sie Tabellen aus der eingebauten Datenbank Derby ab, in der PaperCut Nutzer und Konten führt.

Defused beschreibt damit einen Griff nach Datenbanktabellen neben der Codeausführung, hat aber nach eigener Angabe nicht geprüft, ob die Daten tatsächlich abfließen.

Arctic Wolf, eine Sicherheitsfirma, meldete am 4. September Angreifer, die Windows-Zugangsdaten aus dem Server kopierten. Die Firma zeigt damit einen Abfluss von Zugangsdaten neben den Fernwartungsdiensten.

PaperCut beschrieb am 30. August die erkennbaren Spuren eines Einbruchs. Im Protokoll tauchen Datenbankfehler auf, die im Normalbetrieb nie erscheinen. Kleine fremde Programmdateien liegen im Installationsverzeichnis und Protokolldateien fehlen, weil Angreifer hinter sich aufräumen.

Wo der Einbruch gelang, startete der Druckserver-Prozess eine Kommandozeile und die Angreifer sahen sich um. In beobachteten Fällen installierten sie danach die Fernwartungsprogramme SimpleHelp und AnyDesk. Die Programme sind gängige Werkzeuge und dienen hier als hinterlassene Hintertür.

Das beobachtete Muster passt nach Knott zu Initial Access Brokern. Das sind Gruppen, die Zugänge zu Firmennetzen erbeuten und oft an Ransomware-Banden verkaufen.

Der eingespielte Patch verhindert nach dem Bulletin die nächste Ausnutzung der Kette. Einen SimpleHelp-Dienst, den ein Angreifer schon hinterlegt hat, entfernt das Update nicht.

Für Server mit hinterlassener Fernwartung oder fremden Datenbankfehlern nennt der Hersteller in seinem Bulletin die Neuaufsetzung aus einem Backup vor dem verdächtigen Verhalten als einzigen sauberen Weg.

Jake Knott von WatchTowr beschreibt Zugänge, die nur der jeweilige Täter benutzen kann. WatchTowr und PaperCut lassen offen, wer die hinterlassenen Fernwartungsdienste in den Netzen entfernt.

Häufige Fragen

Müssen Nebenserver an weiteren Standorten denselben Notfallpatch erhalten?

PaperCut führt Haupt- und Nebenserver an weiteren Standorten auf denselben Stand. Die Kette beginnt an der Webverwaltung des zentralen Application Servers. Ein abweichender Stand nur für Nebenserver ist im Herstellerbulletin nicht vorgesehen.

Verlangt die CISA eine forensische Triage dieser Server?

BOD 26-04, eine Betriebsanweisung der CISA, verlangt für diese beiden KEV-Einträge ausdrücklich keine forensische Triage. Triage meint hier eine angeordnete Spurensuche nach dem erfolgten Einbruch. Eine verbindliche forensische Pflicht für deutsche Betreiber enthält der Eintrag nicht.

Ist Emergency Patch Release 3 ein offizielles Produktrelease?

PaperCut führt Emergency Patch Release 3 nicht als offizielles Produktrelease. Der Hersteller arbeitet an einem regulären Build und nennt dafür kein Datum. Der Stand vom 28. August war über die Startseite umgehbar.

Lesetipps der Redaktion

LesetippExploitGym: OpenAI-Agenten bauten sich einen GeheimkanalLesetippRed Team gegen KRITIS: Selbst das gute SOC verliertLesetippApple-Spyware-Warnung: Erst die Security, dann Forensik

Mehr aus dem MBF Media Netzwerk

cloudmagazinS/4-Einkauf: Go-live hängt am Clean CoreMyBusinessFutureGeschäftsklima im Mittelstand hellt sich aufDigital ChiefsWarum KI an den Stammdaten scheitert

Bildquelle: KI-generiert (September 2026)