PaperCut Zero-Days: Zwei Schwachstellen, Zwei Patches, Ein Katastrophenwochenende

Druckserver sind die Sanitäranlagen eines Büros. Niemand denkt an sie, bis etwas verstopft – und wenn man den Schaden bemerkt, hat das Wasser längst den Boden erreicht. Genau das erlebten PaperCut-Administratoren in der letzten Augustwoche: Ein Notfall-Patch brauchte noch vor dem Trocknen seinen eigenen Notfall-Patch.

Zwei Zero-Days. Zwei Fixes an einem einzigen Tag. Und ein Sicherheitsunternehmen, das still vermerkte, dass Patch-Bypasses bereits auf dem Prüftisch lagen, bevor die erste Version überhaupt veröffentlicht wurde.

Was geschah

Der Zeitverlauf ist eng und lohnt es, ihn der Reihe nach durchzugehen. Am 26. August beobachtete Huntress erste Ausnutzungsversuche gegen PaperCut NG/MF-Kunden. Am darauffolgenden Tag veröffentlichte PaperCut Software ein Sicherheitsbulletin. Am 28. August veröffentlichte der Anbieter einen Notfall-Patch für die Versionen 25 und 26 – und noch am selben Tag einen zweiten Notfall-Patch mit zusätzlichen Härtungsmaßnahmen für Version 24.

Wie SecurityWeek berichtete, stellte sich heraus, dass hinter dem, was zunächst wie ein einzelner Zero-Day aussah, tatsächlich zwei Schwachstellen steckten. Der zweite Patch wurde durch WatchTowr ausgelöst, das mehrere Patch-Bypasses sowie eine zusätzliche Authentifizierungsumgehung entdeckte – zusätzlich zu den Lücken, die PaperCut bereits zu schließen versuchte.

Die Rohre lecken also nicht nur an einer Stelle. Es gab ein zweites Leck weiter oben, das niemand bemerkt hatte.

Die beiden CVEs im Mittelpunkt sind CVE-2026-81578, eine Authentifizierungsumgehung mit hohem Schweregrad, die einem entfernten, nicht authentifizierten Angreifer ermöglicht, bestimmte Systemkonfigurationen zu ändern, sowie CVE-2026-82078, ein kritisches Problem mit unsicherem dynamischem Class-Loading in den Datenbankverbindungs-Utilities. PaperCut gab am Sonntag an, dass die Teams noch an einem offiziellen Release arbeiten, das beide Schwachstellen vollständig behebt. Indicators of Compromise wurden veröffentlicht.

Huntress hat Angriffe gegen mindestens zwei Kunden bestätigt. Die beobachtete Aktivität konzentrierte sich auf System-Discovery, ohne sekundäre Malware, ohne Command-and-Control-Verkehr und ohne Persistenz aus dem wiederhergestellten Payload. Wer dahintersteckt und warum, ist noch unklar. Laut Daten der ShadowServer Foundation sind derzeit rund 1.000 PaperCut-Instanzen über das Internet erreichbar – die Mehrheit in Nordamerika und Europa.

Technische Analyse

Das Interessante hier ist nicht eine der Schwachstellen für sich. Es ist die Verkettung. CVE-2026-81578 ermöglicht es, Systemkonfigurationsparameter ohne Authentifizierung zu ändern. CVE-2026-82078 lässt zu, dass diese Konfigurationsparameter das dynamische Class-Loading in den Datenbankverbindungs-Utilities beeinflussen. Zusammen ergeben sie, mit PaperCuts eigenen Worten: „Wenn ein Angreifer Systemkonfigurationsparameter manipulieren kann, ermöglicht dies die Ausführung beliebigen Java-Bytecodes, der sich im Anwendungs-Classpath unter dem Sicherheitskontext des PaperCut-Serverprozesses befindet."

Das ist das gesamte Sanitärproblem in einem Satz. Die Authentifizierungsumgehung ist nicht das Ziel. Sie ist der Schraubenschlüssel, mit dem man die Verbindung löst. Sobald man die Konfiguration überschreiben kann, wird der Class Loader zur Remote-Code-Execution-Primitive – ausgeführt unter den Berechtigungen des PaperCut-Dienstkontos. Bei einer typischen Bereitstellung ist das keine eingeschränkte Rolle. Print-Management-Server laufen historisch gesehen mit umfangreichem Dateisystemzugriff, Netzwerkzugang zu Benutzerverzeichnissen und oft mit Domain-gebundenen Anmeldedaten.

Wer schon einmal nachts um 3 Uhr auf einen Java-Classpath gestarrt hat und herausfinden musste, warum die falsche JAR-Version geladen wird, kennt die Form dieser Schwachstellenklasse. Unsicheres dynamisches Class-Loading ist seit der Log4Shell-Ära eine wiederkehrende Schmerzquelle und gehört in die gleiche Kategorie wie Deserialisierungs-Bugs und Template-Injection. Die OWASP-Richtlinien zu diesem Muster sind seit Jahren eindeutig: Niemals nicht vertrauenswürdige Eingaben darüber entscheiden lassen, welche Klasse geladen wird.

Der Grund, warum WatchTowrs Folgefunde so bedeutsam sind: Patch-Bypasses bei konfigurationsparametergesteuerten Bugs sind fast unvermeidlich, wenn der erste Fix zu eng gefasst ist. Wenn man durch das Blockieren bestimmter Parameternamen patcht, bleibt die Form der Schwachstelle erhalten und nur der spezifische Eingang wird geschlossen, den der Forscher zufällig benutzt hat. So kommt es dazu, dass man an einem Tag zwei Patches veröffentlicht. Der zweite adressiert vermutlich das Muster statt die einzelne Instanz.

PaperCuts Formulierung in der Meldung – noch in Arbeit an einem offiziellen Release – zeigt, dass der Anbieter selbst dies als noch nicht abgeschlossene Behebung betrachtet. Jeden gepatchten Server sollte man als risikoreduziert behandeln, nicht als sauber.

Wer betroffen ist

Print-Management klingt nach einem IT-Problem, nicht nach einem Sicherheitsproblem. Das ist die Falle. PaperCut NG/MF ist stark in Universitäten, Krankenhäusern, Anwaltskanzleien, Behörden und mittelständischen Unternehmen verbreitet – genau jene Umgebungen, in denen ein kompromittierter interner Server innerhalb eines Nachmittags auf HR-Daten, Finanzunterlagen oder Patientendaten pivoten kann.

Rund 1.000 exponierte Instanzen im öffentlichen Internet sind die unmittelbare Schlagzahl, doch die tatsächliche Angriffsfläche ist größer. Die meisten PaperCut-Server befinden sich hinter der Firewall, was bedeutet, dass externes Scanning sie untererfasst. Jeder Angreifer mit initialem Netzwerkzugang – gestohlene Zugangsdaten, VPN-Fuß in der Tür, kompromittierter Laptop eines Auftragnehmers – hat nun einen gut dokumentierten, öffentlich bekannten Weg zu Code-Execution auf einem Server, der wahrscheinlich Dienstkonto-Anmeldedaten mit weitreichendem Zugriff hält.

Die Geschichte ist hier nicht gnädig. Der CISA-KEV-Katalog enthält bereits drei weitere PaperCut-Schwachstellen. Zwei davon wurden in Ransomware-Angriffen ausgenutzt. Die Cl0p- und LockBit-Kampagnen von 2023 gegen PaperCut-Instanzen sind noch frisch genug, dass die meisten Incident-Responder die IoCs auswendig zitieren können. Ransomware-Betreiber lieben solche Produkte: hohe Berechtigungen, langsamer Patch-Rhythmus, geringe Sichtbarkeit für SOC-Werkzeuge.

Die Branchen, über die ich mir in den nächsten 90 Tagen am meisten Sorgen machen würde, sind das Gesundheitswesen und der Hochschulbereich – sowohl weil PaperCut dort stark verbreitet ist als auch weil historisch gesehen langsam gepatcht wird. Rechts- und Finanzdienstleistungsunternehmen, die PaperCut On-Prem betreiben, besonders die kleineren ohne dediziertes Schwachstellenmanagement, sind die nächste Stufe. Managed Print Service Provider, die PaperCut für mehrere Mandanten hosten, sind das weichste und attraktivste Ziel: ein Kompromiss, viele nachgelagerte Opfer.

Die Tatsache, dass die bisher beobachtete Aktivität nur Discovery umfasst, ist kein Trost. Genau so sieht der erste Zug aus, bevor der interessante folgt.

Maßnahmen für Sicherheitsteams

Wenn Sie irgendwo PaperCut betreiben, behandeln Sie es diese Woche als kompromittiert, bis das Gegenteil bewiesen ist. Spielen Sie den zweiten Notfall-Patch ein, nicht nur den ersten. Holen Sie die von PaperCut veröffentlichten IoCs und suchen Sie damit über mindestens 30 Tage Protokolldaten – da die erste beobachtete Ausnutzung am 26. August stattfand und Reconnaissance-Aktivität in der Regel der öffentlichen Bekanntgabe vorausgeht.

Nehmen Sie den Server vom öffentlichen Internet. Es gibt keinen legitimen Grund, eine Print-Management-Konsole für beliebige IPs zugänglich zu machen. Platzieren Sie ihn hinter einem VPN, einem Reverse Proxy mit Mutual TLS oder einem Identity-Aware Access Proxy. Wenn ShadowServers rund 1.000 exponierte Instanzen Ihre umfasst, ist das die wirkungsvollste Einzelmaßnahme, die Sie heute ergreifen können.

Erneuern Sie alle Dienstkonto-Anmeldedaten, die der PaperCut-Server hält. Domain-gebundene Druckserver cachen häufig Zugangsdaten, die weit über den Druckbetrieb hinaus nützlich sind. Gehen Sie davon aus, dass alle Geheimnisse auf dem Server als kompromittiert gelten.

Segmentieren Sie den Server. Print-Management benötigt keinen lateralen Netzwerkzugang zu Finanzsystemen, Quellcodeverwaltung oder Identity-Providern. Wenn dieser Zugang derzeit besteht, korrigieren Sie die Netzwerkrichtlinie, bevor Sie etwas anderes beheben. Schlagen Sie beide CVEs in der MITRE-Datenbank nach, sobald die Details finalisiert sind, und richten Sie Ihre Detection-Regeln auf das Class-Loading-Verhalten aus, nicht nur auf die spezifischen Parameternamen im aktuellen Advisory.

Informieren Sie schließlich Ihre Führungsebene. Zwei Patches an einem Tag, ein Anbieter der noch am offiziellen Fix arbeitet, und bestätigte aktive Ausnutzung – das ist genau die Situation, die drei Wochen zu spät im Vorstand landet. Handeln Sie jetzt proaktiv.

Wichtigste Erkenntnisse

• Zwei Zero-Days, CVE-2026-81578 und CVE-2026-82078, verketten eine Authentifizierungsumgehung mit beliebiger Java-Bytecode-Ausführung im Sicherheitskontext des PaperCut-Servers.
• PaperCut veröffentlichte am 28. August zwei Notfall-Patches, nachdem WatchTowr Bypasses im ersten Fix gefunden hatte. Der Anbieter arbeitet noch am vollständigen offiziellen Release.
• Huntress beobachtete die erste Ausnutzung am 26. August – bisher auf System-Discovery-Aktivität gegen mindestens zwei Kunden beschränkt, ohne nachgelagerte Payloads.
• Laut ShadowServer sind rund 1.000 PaperCut-Instanzen über das Internet erreichbar, hauptsächlich in Nordamerika und Europa. Zwei frühere PaperCut-Schwachstellen im CISA-KEV wurden bereits bei Ransomware-Angriffen eingesetzt.
• Patchen Sie auf das zweite Notfall-Release, nehmen Sie den Server vom öffentlichen Internet, erneuern Sie Dienstkonto-Anmeldedaten und suchen Sie anhand von PaperCuts veröffentlichten IoCs mindestens 30 Tage zurück.

Zurück zu den Rohren. Wenn ein Leck entsteht und der zweite Fix des Klempners eingebaut wird, bevor der erste vollständig abgedichtet ist, feiert man nicht, dass das Tropfen aufgehört hat. Man überprüft die Decke im Stockwerk darunter auf Flecken. PaperCut-Administratoren sollten genau das diese Woche tun: davon ausgehen, dass Wasser bereits dorthin gelangt ist, wo es nicht sein sollte – und danach suchen, statt darauf zu vertrauen, dass die Rohre trocken sind.