PaperCut-Zero-Day trifft alle Versionen – Notfallpatch 2 ist da

PaperCut hat am 28. August 2026 den Emergency Patch Release 2 für zwei aktiv ausgenutzte Schwachstellen in PaperCut NG und MF veröffentlicht. Der Hersteller bestätigt Angriffe auf Kundenumgebungen; betroffen sind sämtliche Versionen beider Produkte.

Für Administratoren ist der Stand vom 28. August eindeutig: Öffentlich erreichbare Weboberflächen müssen sofort auf vertrauenswürdige IP-Adressen beschränkt werden. Installationen der Zweige 24, 25 und 26 benötigen Release 2; Betreiber von Version 23 oder älter sollen auf die neueste Version wechseln.

Release 2 ersetzt den ersten Notfallpatch

Die erste Korrektur erschien am 28. August für die Versionszweige 25 und 26. Nach weiteren Analysen folgte noch am selben Tag Release 2 mit zusätzlicher Härtung; anschließend wurde die zweite Fassung auch für Version 24 bereitgestellt. PaperCut fordert zur Installation von Release 2 auf, selbst wenn der erste Notfallpatch bereits eingespielt wurde.

Der Bericht von BleepingComputer zum zweiten Patch nennt mehrere von Forschern entdeckte Umgehungsmöglichkeiten der ersten Korrektur. Die beiden Schwachstellen CVE-2026-81578 und CVE-2026-82078 lassen sich demnach zu einem Angriff ohne vorherige Authentifizierung mit anschließender Codeausführung verketten.

CVE-2026-81578 betrifft eine unzureichende Zugriffskontrolle in der Webverwaltung: Unter bestimmten Bedingungen können nicht authentifizierte Anfragen administrative Backend-Aktionen auslösen und Konfigurationen verändern. CVE-2026-82078 betrifft das unsichere dynamische Laden von Klassen in den Datenbankfunktionen; nach einer manipulierten Konfiguration kann dadurch Java-Bytecode im Kontext des PaperCut-Serverprozesses ausgeführt werden.

Alle Versionen sind betroffen, aber nicht alle erhalten ein Paket

Die Warnung umfasst alle Versionen von PaperCut NG und PaperCut MF. Das bedeutet jedoch nicht, dass für jeden alten Zweig ein eigenes Paket erscheint: Das kanadische Cyber Centre führt die Zweige 24, 25 und 26 vor Emergency Patch Release 2 als verwundbar und bestätigt die Ausnutzung der beiden CVE in freier Wildbahn. Für Version 23 und älter ist ein Upgrade auf die neueste Version vorgesehen.

Die Bestandsaufnahme darf nicht beim primären Application Server enden. Site Server sowie Secondary beziehungsweise Print Server müssen ebenfalls einen gepatchten Stand erhalten. Print Deploy und Mobility Print sind von diesem Bulletin dagegen nicht betroffen und benötigen deswegen kein Update.

Release 2 ist keine reguläre Produktveröffentlichung und hat laut PaperCut nicht den üblichen Release-Prozess durchlaufen. Diese Einordnung ändert nichts an der Installationsforderung, erklärt aber, weshalb Betreiber die weiter aktualisierte Warnseite und mögliche Folgeinformationen beobachten müssen.

Zuerst den öffentlichen Zugriff begrenzen

Der Patch ersetzt die Netzwerkmaßnahme nicht. Das am 29. August aktualisierte Sicherheitsbulletin von PaperCut verlangt für internetzugängliche Application Server die sofortige Beschränkung der Weboberflächen auf vertrauenswürdige IP-Adressen – auch ohne bisherige Anzeichen eines Angriffs. Möglich sind Firewallregeln, Netzwerkzugriffskontrollen oder eine gleichwertige Abschottung.

Für die operative Bearbeitung ergibt sich diese Reihenfolge:

1. Öffentlichen Zugriff auf die PaperCut-Weboberflächen entfernen oder auf vertrauenswürdige IP-Adressen begrenzen.
2. Produkt, Versionszweig sowie alle Application, Site und Secondary Server erfassen.
3. Protokolle und Sicherheitstelemetrie auf bekannte Auffälligkeiten prüfen und mögliche Beweise sichern.
4. Für Version 24, 25 oder 26 das passende Release-2-Paket installieren; ältere Installationen auf die neueste Version aktualisieren.
5. Nach dem Update angebundene Komponenten und gegebenenfalls die externe Kartennummernabfrage kontrollieren.

Diese Spuren können auf einen Angriff hindeuten

Zu den veröffentlichten Hinweisen gehören verdächtige Folgeaktivitäten des legitimen Prozesses pc-app.exe sowie fehlende, gekürzte oder gelöschte server.log-Dateien. In server.log können außerdem die Meldungen „No suitable driver found for jdbc:no:x“ und „Database error looking up cardID: VALUES CAST“ auftauchen.

Das Fehlen dieser Spuren ist keine Entwarnung. Angreifer können Protokolle verändern oder entfernen, und die Liste der Indikatoren ist während der laufenden Untersuchung nicht abschließend. Relevant sind deshalb auch Warnungen aus Endpoint-Security, Intrusion Detection und Netzwerküberwachung rund um den Application Server.

Bei einem konkreten Kompromittierungsverdacht empfiehlt PaperCut, aktuelle Backups zu sichern, den Application Server vollständig neu aufzusetzen und ein sauberes Backup aus der Zeit vor den verdächtigen Aktivitäten einzuspielen. Parallel sollte das Incident-Response-Verfahren der Organisation aktiviert werden. Den vollständigen Schaden in einer individuellen Kundenumgebung kann der Hersteller nicht aus der Ferne beurteilen.

Externe Kartennummern erfordern eine Nacharbeit

Eine selten verwendete Funktion benötigt nach Release 2 eine zusätzliche Konfiguration: die Abfrage von Karten- oder ID-Nummern aus einer externen Datenbank. Sie ist nach dem Patch standardmäßig ausgeschaltet. Betroffene Installationen müssen in server/security.properties den Eintrag security.card-number-lookup.enabled=Y ergänzen und anschließend den Application Server neu starten.

Ohne diesen Schlüssel kann die Administrationsoberfläche die externe Abfrage weiterhin als konfiguriert anzeigen, während NG oder MF entsprechende Aufrufe im Hintergrund ignoriert. Organisationen mit Kartenfreigabe sollten deshalb klären, ob die Nummern tatsächlich aus einer externen Datenbank stammen, und den Ablauf nach der Aktualisierung prüfen.

Damit stehen die unmittelbaren Maßnahmen fest: Release 2 für die Zweige 24 bis 26, ein Upgrade auf die neueste Version für ältere Installationen und eine zusätzliche Zugriffsbeschränkung für internetexponierte Systeme. Noch offen sind der vollständige Umfang der Kundenangriffe, die Aktivitäten nach einer Kompromittierung und weitere belastbare Indikatoren; PaperCut setzt die Untersuchung fort.