PaperCut-Zero-Day aktiv ausgenutzt: Jetzt reicht ein normales Update nicht

Am 28. August 2026 waren aktive Angriffe auf PaperCut NG und PaperCut MF bestätigt. Der aktualisierte Bericht von SecurityWeek dokumentiert betroffene Kundenumgebungen, veröffentlichte Notfallkorrekturen und erste Hinweise zur Erkennung einer Kompromittierung.

Für Administratoren bedeutet der Stand vom 28. August: Emergency Patch Release 2 installieren, öffentlich erreichbare Application Server sofort auf vertrauenswürdige IP-Adressen beschränken und mögliche Angriffsspuren untersuchen. Ein normales Produktupdate genügt nicht, weil Release 2 ein außerplanmäßiger Patch ist und weder die Netzwerkbegrenzung noch die Prüfung auf eine bereits erfolgte Kompromittierung ersetzt.

Alle Versionen von PaperCut NG und MF sind potenziell betroffen

Die Warnung ist nicht auf einzelne Builds oder Betriebssysteme begrenzt. Das aktualisierte PaperCut-Bulletin nennt alle Versionen von PaperCut NG und PaperCut MF als potenziell betroffen und stellt Emergency Patch Release 2 für die Versionszweige 24, 25 und 26 bereit. Für Version 23 und älter empfiehlt der Hersteller den Wechsel auf die aktuelle Version.

Auch Installationen mit dem ursprünglichen Emergency Patch benötigen Release 2. Die zweite Fassung enthält zusätzliche Härtungsmaßnahmen und soll die erste ersetzen. Site Server sowie Secondary beziehungsweise Print Server müssen ebenfalls auf einen gepatchten Stand gebracht werden; Print Deploy und Mobility Print sind nach den Herstellerangaben von diesem Vorfall nicht betroffen.

Release 2 ist keine reguläre Produktversion und hat nicht den üblichen Freigabeprozess durchlaufen. Die Installation erfolgt dennoch nach dem normalen Upgrade-Verfahren. Administratoren sollten deshalb für jeden beteiligten Server Produkt, Hauptversion, Build, Rolle und tatsächlich installierten Patchstand erfassen, statt sich allein auf den Versionszweig zu verlassen.

Zuerst Zugriff begrenzen, dann Release 2 installieren

Öffentlich erreichbare Weboberflächen sollten nicht bis zum nächsten Wartungsfenster offenbleiben. PaperCut verlangt, den Zugriff unverzüglich auf vertrauenswürdige, beispielsweise interne IP-Adressen zu begrenzen. Dafür kommen Firewall-Regeln, Netzwerkzugriffslisten oder gleichwertige Kontrollen infrage – auch wenn bisher keine verdächtige Aktivität erkannt wurde.

1. Alle PaperCut-NG- und PaperCut-MF-Application-Server, Site Server und Secondary Server inventarisieren. Öffentliche Erreichbarkeit, Version, Build und Serverrolle dokumentieren.
2. Weboberflächen aus dem ungeschützten Internet nehmen oder auf einen eng definierten Kreis vertrauenswürdiger IP-Adressen beschränken.
3. Emergency Patch Release 2 für Version 24, 25 oder 26 über die Downloads im Herstellerbulletin beziehen und nach dem vorgesehenen Upgrade-Verfahren installieren. Einen bereits installierten Release-1-Patch dabei ersetzen.
4. Nach dem Neustart den Patchstand sämtlicher beteiligter Server und die weiterhin wirksamen Netzwerkregeln kontrollieren.
5. Anschließend Logs sowie Endpoint- und Netzwerk-Telemetrie für den Zeitraum vor und während der Installation auswerten. Der neue Patch kann eine frühere Kompromittierung nicht ausschließen.

Eine Besonderheit betrifft Umgebungen, die eine externe Datenbank für Card- oder ID-Nummern verwenden. Dort verlangt PaperCut den Eintrag security.card-number-lookup.enabled=Y in server/security.properties und einen Neustart des Application Servers. Die selten verwendete Funktion ist standardmäßig deaktiviert; die Änderung ist daher nur für Installationen mit dieser Konfiguration relevant.

Die Logprüfung muss über zwei Fehlermeldungen hinausgehen

Zu den vorläufigen Hinweisen zählen Warnungen von Intrusion-Detection-, Endpoint-Security- oder Netzwerküberwachungssystemen, die den PaperCut Application Server betreffen. Besondere Aufmerksamkeit verdient verdächtige Folgeaktivität des legitimen Prozesses pc-app.exe. Auch fehlende, gelöschte oder unerwartet verkürzte server.log-Dateien können auf einen Eingriff hindeuten.

In der server.log nennt PaperCut außerdem die Einträge ERROR No suitable driver found for jdbc:no:x und ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST. Treffer sollten zeitlich mit Prozessstarts, ausgehenden Netzwerkverbindungen, Konfigurationsänderungen und Betriebssystemereignissen abgeglichen werden. Vor Veränderungen am System ist es sinnvoll, relevante Protokolle, aktuelle Backups und zugehörige Metadaten für eine spätere Untersuchung zu sichern.

Das Ausbleiben dieser Signale ist keine Entwarnung. PaperCut bezeichnet die Hinweise als vorläufig und kündigt weitere validierte Indikatoren und Anleitungen an. Ein zuvor öffentlich erreichbarer Server kann deshalb nicht allein aufgrund einer unauffälligen server.log als sauber gelten.

Verdachtsfälle erfordern mehr als eine Patchkontrolle

Bei auffälligen Logs, verdächtiger Aktivität von pc-app.exe oder anderen belastbaren Signalen sollte der betroffene Server isoliert und der organisatorische Incident-Response-Prozess aktiviert werden. In die Reichweitenanalyse gehören auch Zugangsdaten und Dienste, die auf dem Application Server gespeichert waren oder von ihm erreicht werden konnten.

Für einen mutmaßlich kompromittierten Application Server empfiehlt PaperCut, aktuelle Sicherungen zu schützen, das System vollständig zu löschen und neu aufzubauen. Wiederhergestellt werden soll aus einem sauberen Backup, das vor dem ersten erkannten verdächtigen Verhalten angelegt wurde. Der Patchstand ist dabei nur ein Teil der Bewertung: Er sagt nichts darüber aus, was vor der Installation geschehen sein könnte.

Eine vertiefte Untersuchung ist auch ohne bestätigten Schadcodefund gerechtfertigt, wenn Protokolle unerklärlich fehlen, Telemetrie für den relevanten Zeitraum unvollständig ist oder Konfigurationsänderungen nicht nachvollzogen werden können. Die Kombination aus früherer öffentlicher Erreichbarkeit und fehlenden Belegen verlangt eine Risikobewertung; sie darf nicht automatisch als Nachweis eines Angriffs dargestellt werden.

Zwei CVEs sind veröffentlicht, die Untersuchung bleibt offen

Die zunächst noch nicht vergebenen Kennungen lauten inzwischen CVE-2026-81578 und CVE-2026-82078. Die Warnung des Canadian Centre for Cyber Security führt beide Schwachstellen für PaperCut NG und MF als aktiv ausgenutzt und nennt Installationen vor Emergency Patch Release 2 in den Zweigen 24 bis 26 als betroffen.

CVE-2026-81578 betrifft eine Umgehung der Authentifizierung: Unter bestimmten Bedingungen können nicht authentifizierte Anfragen administrative Backend-Aktionen auslösen und Systemeinstellungen verändern. CVE-2026-82078 betrifft unsicheres dynamisches Laden von Klassen in den Datenbankfunktionen; wenn ein Angreifer Konfigurationsparameter manipulieren kann, ist dadurch die Ausführung von Java-Bytecode im Kontext des PaperCut-Serverprozesses möglich.

PaperCut untersucht die bestätigten Vorfälle weiter. Noch nicht abschließend geklärt sind der vollständige Umfang der Angriffe, die verantwortlichen Akteure und ein vollständiger Satz belastbarer Kompromittierungsindikatoren. Bis diese Informationen vorliegen, gehören Release 2, die Begrenzung des Internetzugriffs und die Untersuchung des Zeitraums vor dem Patch zusammen.

Lesen Sie auch:

• YouTube zählt ab dem ersten Frame: Mehr Views bedeuten nicht mehr Geld