PaperCut unter aktiven Angriffen: Alle NG- und MF-Versionen betroffen

PaperCut warnt seit dem 27. August 2026 vor aktiven Angriffen auf selbst gehostete Installationen von PaperCut NG und PaperCut MF. Der Hersteller bestätigt Vorfälle bei Kunden und behandelt alle Versionen beider Produkte als potenziell betroffen.

Seit dem 28. August steht Emergency Patch Release 2 für die Hauptversionen 24, 25 und 26 bereit. Administratoren öffentlich erreichbarer Application Server sollten den Zugriff sofort auf vertrauenswürdige Adressen begrenzen, Beweisdaten sichern und anschließend die passende Aktualisierung einspielen; für Version 23 und älter gibt es keinen eigenen Notfall-Patch.

Die Angriffskette umfasst zwei Schwachstellen

Die aktualisierte Sicherheitswarnung von PaperCut nennt CVE-2026-81578 mit einem CVSS-Wert von 8,8 und CVE-2026-82078 mit 9,4. Die erste Schwachstelle kann nicht authentifizierten Anfragen unter bestimmten Bedingungen erlauben, Konfigurationen über administrative Funktionen zu verändern. Die zweite betrifft dynamisches Laden von Klassen in den Datenbankfunktionen und kann bei manipulierbarer Konfiguration Java-Bytecode im Kontext des PaperCut-Serverprozesses ausführen.

Die beiden Fehler können damit eine Kette bilden: Zunächst wird die Zugriffskontrolle umgangen, danach eine unsichere Datenbankfunktion für Codeausführung missbraucht. Das bedeutet nicht, dass PaperCut bereits jede einzelne Phase in allen Kundenfällen nachgewiesen hat. Die technische Möglichkeit einer vollständigen Angriffskette ohne vorherige Anmeldung wurde jedoch reproduziert.

Betroffen sind PaperCut NG und PaperCut MF einschließlich ihrer Application Server. Site Server sowie Secondary beziehungsweise Print Server müssen ebenfalls auf einen gepatchten Stand gebracht werden. Print Deploy und Mobility Print sind laut Hersteller von diesen beiden Schwachstellen nicht betroffen.

Entscheidungsmatrix für die Hauptversionen

Welche Maßnahme möglich ist, hängt von der installierten Hauptversion ab. Release 2 enthält zusätzliche Härtungen gegenüber dem ersten Notfall-Patch und soll auch dann installiert werden, wenn Release 1 bereits eingespielt wurde.

• Version 26: Release 2 ist für NG und MF unter Windows, Linux und macOS verfügbar. Neben dem Application Server müssen vorhandene Site Server und Secondary Server aktualisiert werden.
• Version 25: Auch für diesen Zweig stehen Pakete für beide Produkte und alle drei Betriebssysteme bereit. Ein zuvor installierter erster Notfall-Patch ist durch Release 2 zu ersetzen.
• Version 24: Release 2 deckt inzwischen ebenfalls diesen Zweig ab. Frühere Berichte, nach denen ein Patch noch ausstand, bilden den aktualisierten Stand daher nicht mehr ab.
• Version 23 und älter: PaperCut bietet keinen separaten Notfall-Patch an und empfiehlt den Wechsel auf die neueste Version. Bis zum Upgrade muss der Application Server aus dem öffentlichen Internet entfernt oder auf vertrauenswürdige Quelladressen beschränkt werden.

Die Pakete für Version 24 bis 26 sind ausdrücklich Notfall-Patches und haben nicht den üblichen vollständigen Freigabeprozess durchlaufen. Die veröffentlichten SHA-256-Prüfsummen ermöglichen eine Kontrolle der heruntergeladenen Datei. Nach der Installation sollten Teams Versionen und Dienststatus sämtlicher beteiligter PaperCut-Server prüfen, bevor sie eingeschränkte Netzwerkzugänge wieder erweitern.

Eindämmung, Beweissicherung und Patchen

Bei einem öffentlich erreichbaren Application Server hat die Eindämmung Vorrang. Der Zugriff sollte über Firewall, Reverse Proxy oder eine vergleichbare Netzwerkkontrolle auf interne oder anderweitig vertrauenswürdige IP-Adressen begrenzt werden. Ist das kurzfristig nicht möglich, bleibt die Trennung vom Internet die belastbarere Übergangsmaßnahme.

Vor einem Neustart oder Upgrade sollten zumindest das vollständige PaperCut-Protokollverzeichnis mit Dateimetadaten, die aktuelle und abweichende Konfiguration sowie verfügbare Endpoint-, Firewall-, DNS-, Proxy-, WAF- und Netzwerkflussdaten gesichert werden. Ein Patch schließt die Schwachstellen, beseitigt aber keine bereits erfolgte Kompromittierung.

1. Öffentliche Erreichbarkeit des Application Servers einschränken und den Zeitpunkt der Änderung dokumentieren.
2. Protokolle, Konfiguration, Prozessdaten und relevante Netzwerktelemetrie gegen nachträgliche Veränderung sichern.
3. Release 2 für das richtige Produkt, die richtige Hauptversion und das richtige Betriebssystem laden, die Prüfsumme kontrollieren und alle betroffenen Serverrollen aktualisieren.
4. Nach dem Patchen gezielt nach den bekannten Indikatoren und nach ungewöhnlichen Kindprozessen des PaperCut-Dienstes suchen.
5. Bei einem Treffer den normalen Patch-Ablauf beenden und den etablierten Incident-Response-Prozess aktivieren.

Der SecurityWeek-Bericht vom 28. August bestätigt die Ausnutzung, die Notfall-Patches und die beiden inzwischen vergebenen CVE-Kennungen. Wer eine ältere Zusammenfassung nutzt, sollte deshalb besonders prüfen, ob sie Release 2 für Version 24 bereits berücksichtigt.

Diese Spuren können auf eine Kompromittierung hinweisen

PaperCut nennt verdächtige Folgeaktivität im Zusammenhang mit pc-app.exe, fehlende, unerwartet verkürzte oder gelöschte server.log-Dateien sowie die Einträge „No suitable driver found for jdbc:no:x“ und „Database error looking up cardID: VALUES CAST“. Das Fehlen dieser Merkmale beweist ausdrücklich nicht, dass ein System unberührt geblieben ist.

Die Untersuchung von Huntress beschreibt zwei betroffene Kundenumgebungen und eine reproduzierte Angriffskette ohne Anmeldung. Beobachtet wurden unter anderem Befehle zur Ermittlung von Benutzerkonto, Windows-Version und laufenden Prozessen, ungewöhnliche Java-Klassendateien unter server/lib sowie eine gelöschte server.log; in der erhaltenen derby.log blieb ein zeitlich passender Eintrag zu einer ungewöhnlich benannten Datenbank zurück.

Für die Nachsuche sind deshalb Prozessbäume wichtig, in denen pc-app.exe oder Java eine Shell beziehungsweise Programme zur Systemerkundung startet. Zusätzlich sollten Teams neue oder unerwartete Dateien mit den Endungen .class, .cmd und .out in den PaperCut-Verzeichnissen sowie Änderungen an der externen Benutzer- oder Kartennummernsuche prüfen. Beobachtete Dateinamen dürfen dabei nicht als vollständig oder dauerhaft betrachtet werden.

Ein belastbarer Kompromittierungsverdacht macht aus der Aktualisierung einen Sicherheitsvorfall. PaperCut empfiehlt in diesem Fall, aktuelle Sicherungen zu schützen, den Application Server vollständig neu aufzusetzen und nur ein sauberes Backup von vor der verdächtigen Aktivität wiederherzustellen. Die Identität der Angreifer und das gesamte Spektrum möglicher Folgeaktivitäten sind weiterhin nicht geklärt.