PaperCut NG/MF: Aktiv ausgenutzte Schwachstellenkette CVE-2026-81578 und CVE-2026-82078 erfordert sofortiges Notfall-Update
PaperCut NG und PaperCut MF sind über eine Kette aus zwei Schwachstellen angreifbar: CVE-2026-81578 hebelt die Authentifizierung aus, CVE-2026-82078 erlaubt darauf aufbauend Remote Code Execution ohne Login. Der erste Fix wurde von Angreifern umgangen, weshalb PaperCut ein zweites Notfall-Update veröffentlicht hat. Aktive Ausnutzung ist bestätigt, Admins sollten sofort patchen und Systeme auf Kompromittierung prüfen.
Von der Schwachstellenkette CVE-2026-81578 und CVE-2026-82078 sind alle Installationen von PaperCut NG und PaperCut MF der Versionslinien 24, 25 und 26 auf Windows, Linux und macOS betroffen, die vor dem 27. August 2026 nicht aktualisiert wurden. CVE-2026-81578 (CVSS 8.8) ist eine Zugriffskontroll-Lücke im Webmanagement, die es einem unauthentifizierten Angreifer erlaubt, über eine Verwechslung von Seiten- und Komponentenanfragen administrative Backend-Aktionen auszulösen, bevor die Zugriffsprüfung greift. Darauf aufbauend nutzt CVE-2026-82078 (CVSS 9.4) unsicheres dynamisches Laden von Klassen im Datenbank-Connector, wodurch aus dem Bypass eine vollständige Remote Code Execution auf dem Server wird. Gesichert ist: Beide Lücken werden in Kombination aktiv ausgenutzt, PaperCut hat Kundenvorfälle bestätigt, und der ursprüngliche Notfall-Patch ließ sich über einen alternativen Anfragepfad auf der Startseite umgehen. Unsicher beziehungsweise noch nicht abschließend belegt ist der genaue Umfang der Kampagne, die Identität der Angreifer sowie ob es sich um eine breite Massenausnutzung oder gezielte Angriffe auf einzelne Organisationen handelt.
Die Dringlichkeit ist hoch, da die Kette ohne jegliche Anmeldung funktioniert und PaperCut-Server in vielen Unternehmen mit dem Internet oder zumindest mit weiten Teilen des internen Netzes verbunden sind, etwa für Mobil- und Web-Druck. Als erste Prüfung sollten Admins die aktuell installierte PaperCut-Version feststellen (Anwendungsserver, Verwaltungskonsole, Systemprotokolle unter Server > Protokolle) und prüfen, ob der Server aus dem Internet erreichbar ist. Konkrete Sofortmaßnahmen: Emergency Patch Release 2 aus dem PaperCut Security Bulletin unverzüglich einspielen, den Zugriff auf die administrative Weboberfläche per Firewall oder Reverse Proxy auf bekannte Management-IPs beschränken, Protokolle auf ungewöhnliche Admin-Aktionen ohne vorherigen Login prüfen und bei Verdacht auf Kompromittierung Zugangsdaten und Zertifikate des PaperCut-Servers rotieren.
Was ist passiert
PaperCut hat am 27. August 2026 ein dringendes Sicherheitsbulletin veröffentlicht und darin zwei neue CVEs für PaperCut NG und PaperCut MF offengelegt. Der Sicherheitsdienstleister Huntress meldete, bereits vor der Veröffentlichung Ausnutzung in mindestens zwei Kundenumgebungen entdeckt zu haben. Kurz nach dem ersten Notfall-Patch stellten Sicherheitsforscher fest, dass sich die Authentifizierungsprüfung über einen alternativen Pfad auf der Startseite weiterhin umgehen ließ. PaperCut reagierte mit einem zweiten Notfall-Patch, der als Emergency Patch Release 2 bezeichnet wird und zusätzliche Haertungsmassnahmen enthält.
Die Schwachstellenkette im Detail
Die beiden Lücken wirken nur in Kombination als vollständiger unauthentifizierter Angriffspfad, können aber auch einzeln Risiken bergen.
- CVE-2026-81578: Fehlerhafte Zugriffskontrolle in der Weboberfläche, CVSS 8.8, CWE-306.
- Ursache ist eine Verwechslung zwischen Seiten- und Komponentenanfragen, wodurch Backend-Funktionen vor Abschluss der Zugriffsprüfung ausgelöst werden.
- CVE-2026-82078: Unsicheres dynamisches Laden von Klassen im Datenbank-Connector, CVSS 9.4, CWE-470.
- Ein Angreifer kann darüber eigene Klassen laden lassen und dadurch beliebigen Code auf dem Server ausführen.
- Verkettet ergibt sich ein vollständig unauthentifizierter Weg von der ersten Anfrage bis zur Codeausführung.
- Der erste veröffentlichte Patch schloss die Bypass-Lücke nicht vollständig, ein alternativer Anfragepfad blieb offen.
- Emergency Patch Release 2 schließt diesen zusätzlichen Pfad und enthält weitere Haertungsmassnahmen für die Admin-Oberfläche.
- Besonders gefährdet sind Server mit direkter Internetanbindung, etwa für mobiles Drucken oder Web-Druckfreigabe.
Betroffene Versionen und Patches
| Produktlinie | Betroffene Versionen | Status | Empfohlene Maßnahme |
|---|---|---|---|
| PaperCut NG/MF 26.x | Alle Versionen vor 27. August 2026 | Emergency Patch Release 2 verfügbar | Sofort auf Release 2 aktualisieren |
| PaperCut NG/MF 25.x | Alle Versionen vor 27. August 2026 | Emergency Patch Release 2 verfügbar | Sofort auf Release 2 aktualisieren |
| PaperCut NG/MF 24.x | Alle Versionen vor 27. August 2026 | Patch nachträglich auf Version 24 erweitert | Sofort auf Release 2 aktualisieren |
| Ältere, nicht mehr unterstützte Versionen | Kein offizieller Patch | End of Life | Migration auf unterstützte Version oder Abschottung des Servers |
Warum der erste Patch nicht reichte
Der ursprüngliche Notfall-Patch adressierte den bekannt gewordenen Ausnutzungsweg, schloss aber nicht alle Varianten der fehlerhaften Zugriffsprüfung. Forscher fanden einen weiteren Anfragepfad über die Startseite der Weboberfläche, mit dem sich die Prüfung weiterhin umgehen ließ. Dieses Muster ist bei komplexen Zugriffskontroll-Fehlern nicht ungewöhnlich, da eine Anwendung oft mehrere Einstiegspunkte für dieselbe Funktion bereitstellt. Für Admins bedeutet das konkret: Wer bereits den ersten Patch eingespielt hat, ist weiterhin verwundbar und muss zusätzlich Emergency Patch Release 2 installieren.
Erkennung und Reaktion
- Serverprotokolle auf administrative Aktionen ohne vorangegangenen erfolgreichen Login prüfen.
- Unerwartete neue Administratorkonten oder geänderte Berechtigungen kontrollieren.
- Auffällige Datenbankverbindungen oder neu geladene Klassenbibliotheken untersuchen.
- Netzwerkverkehr auf ungewöhnliche ausgehende Verbindungen vom PaperCut-Server prüfen.
- Bei Verdacht auf Kompromittierung Server isolieren, forensische Sicherung anfertigen und danach patchen und neu aufsetzen.
Empfehlungen für Admins und KMU
Für kleine und mittlere Unternehmen, bei denen PaperCut oft von einer einzelnen IT-Person mitbetreut wird, zählt jetzt Geschwindigkeit vor Vollständigkeit. Folgende Schritte sollten zeitnah umgesetzt werden.
- Emergency Patch Release 2 auf allen PaperCut NG/MF Servern der Versionen 24, 25 und 26 einspielen.
- Direkten Internetzugriff auf die Verwaltungsoberfläche deaktivieren oder per VPN und IP-Filter absichern.
- Zugangsdaten für PaperCut-Administratorkonten sowie Datenbankzugangsdaten rotieren.
- Monitoring für den PaperCut-Server verschärfen und Alarmierung bei administrativen Änderungen einrichten.
- Patchstand regelmäßig gegen das offizielle PaperCut Security Bulletin abgleichen, da weitere Härtungen folgen können.
Passende Anleitungen auf S-EDV
- CISA bestätigt Windows Task Host Lücke, jetzt von Ransomware ausgenutzt
- Docker Images scannen mit Trivy: Schwachstellen und SBOM
