AKTUELL
PaperCut-Notfall-Patch 2 soll aktive Angriffe auf NG und MF stoppen
PaperCut hat einen zweiten Notfall-Patch für seine Druckmanagement-Software NG und MF veröffentlicht, nachdem das Unternehmen Angriffe auf Kundensysteme bestätigt hatte. Der PaperCut-Notfall-Patch 2 steht für die Hauptversionen 24, 25 und 26 bereit. Alle älteren und ungepatchten Versionen gelten als potenziell betroffen. Betreiber öffentlich erreichbarer Anwendungsserver sollten den Zugriff sofort einschränken, das Update installieren und zugleich prüfen, ob bereits ein Angriff stattgefunden hat.
Für normale Nutzer ist die Meldung kein Anlass, Druckertreiber oder eine App auf dem eigenen Rechner zu aktualisieren. Zuständig sind Unternehmen, Behörden, Bildungseinrichtungen und deren IT-Dienstleister, die PaperCut NG oder PaperCut MF auf eigenen Servern betreiben.
Zwei Lücken führen gemeinsam zur Codeausführung
PaperCut beschreibt in seiner dringenden Sicherheitsmeldung zwei Schwachstellen. CVE-2026-81578 betrifft die Zugriffskontrolle der webbasierten Verwaltungsoberfläche. Unter bestimmten Bedingungen können nicht angemeldete Angreifer administrative Aktionen auslösen, bevor die Software deren Berechtigung vollständig geprüft hat. Dadurch lassen sich Teile der Systemkonfiguration verändern.
CVE-2026-82078 steckt in den Datenbankfunktionen. PaperCut konnte hier Klassen anhand konfigurierbarer Treibernamen laden, ohne diese konsequent mit einer Liste zugelassener Treiber abzugleichen. Wer zuvor die Konfiguration manipuliert hat, kann diesen zweiten Fehler ausnutzen, um Java-Code mit den Rechten des PaperCut-Serverprozesses auszuführen.
Zusammen ergeben die beiden Schwachstellen eine Angriffskette, die keine vorherige Anmeldung benötigt. PaperCut bewertet die Zugriffskontrolllücke nach CVSS 4.0 mit 8,8 Punkten und den Fehler beim dynamischen Laden von Klassen mit 9,4 Punkten. Die höhere Einstufung bezieht sich dabei auf den möglichen technischen Schaden, nicht auf die Zahl der bislang bekannten Angriffe.
Was der PaperCut-Notfall-Patch 2 abdeckt
Release 2 ist für PaperCut NG und PaperCut MF in den Hauptversionen 24, 25 und 26 erhältlich. Pakete stehen für Windows, Linux und macOS bereit. Wer bereits den ersten Notfall-Patch installiert hat, muss trotzdem auf Release 2 wechseln. Nach weiteren Untersuchungen mit Huntress und watchTowr wurde die ursprüngliche Absicherung erweitert; Sicherheitsforscher hatten mehrere Möglichkeiten gefunden, die ersten Korrekturen zu umgehen.
Neben dem primären Application Server sollen auch vorhandene Site Server sowie sekundäre Druckserver auf einen geschützten Stand gebracht werden. Print Deploy und Mobility Print beruhen laut PaperCut auf einer anderen Architektur und sind von diesen beiden Schwachstellen nicht betroffen.
Für Version 23 und ältere Ausgaben ist kein eigener Notfall-Patch vorgesehen. PaperCut empfiehlt hier den Umstieg auf eine aktuelle Version. Release 2 ist allerdings noch keine reguläre Produktveröffentlichung: Das Paket hat nicht den üblichen Freigabeprozess durchlaufen, während die Entwicklung einer offiziellen Version weitergeht.
Unabhängig vom Softwarestand bleibt die Netzwerkabsicherung wichtig. PaperCut empfiehlt, die Weboberflächen des Application Servers nur für vertrauenswürdige IP-Adressen oder kontrollierte interne Zugangswege erreichbar zu machen.
Angreifer suchten bereits nach weiteren Zugängen
Die Sicherheitsfirma Huntress dokumentiert zwei betroffene Kundenumgebungen. In den dort untersuchten Fällen führten Angreifer zunächst Befehle aus, um Benutzerkonto, Betriebssystem und laufende Prozesse zu ermitteln. Außerdem wurden präparierte Java-Klassen auf den Server geschrieben. Teile der verwendeten Dateien und Protokolle löschten sich anschließend wieder.
Huntress hatte in diesen beiden konkreten Fällen zunächst keine nachgelagerte Schadsoftware oder dauerhafte Persistenz festgestellt. Daraus folgt jedoch keine allgemeine Entwarnung. PaperCut ergänzte seine Warnung am 30. August um weitere beobachtete Spuren. Dazu gehören vom Serverprozess gestartete Kommandozeilen, unerwartete Java-Klassen sowie Installationen von SimpleHelp und AnyDesk, die einem Angreifer einen späteren Fernzugriff ermöglichen können.
Auffällig sind außerdem fehlende, verkürzte oder unerwartet gelöschte server.log-Dateien. Auch ungewöhnliche Dateien mit kurzen, zufällig wirkenden Namen in den Verzeichnissen server/lib und server/data/content können auf einen Angriff hindeuten. Da Angreifer solche Spuren beseitigen können, beweist ein unauffälliges Protokoll nicht, dass der Server sicher geblieben ist.
Wer hinter den Angriffen steht und wie viele Organisationen betroffen sind, ist weiterhin offen. Huntress beobachtete zwei Umgebungen, PaperCut spricht allgemein von bestätigten Kundenfällen. Belastbare Zahlen für Deutschland oder Europa liegen bislang nicht vor.
Betreiber sollten in einer festen Reihenfolge reagieren
Ist die PaperCut-Verwaltung aus dem öffentlichen Internet erreichbar, sollte dieser Zugang zuerst auf vertrauenswürdige Adressen begrenzt werden. Bei einem möglichen Angriff müssen relevante Protokolle, Prozessdaten und aktuelle Systeminformationen gesichert werden, bevor ein Neustart oder eine Aktualisierung Spuren verändert.
Danach ist Release 2 auf allen betroffenen PaperCut-Serverkomponenten einzuspielen. Administratoren sollten anschließend kontrollieren, ob der PaperCut-Prozess Kommandozeilen oder Fernwartungsprogramme gestartet hat, ob unerwartete Dateien vorhanden sind und ob zentrale Protokolle fehlen. Auch Firewall-, Proxy-, DNS- und Endgeräteschutz-Protokolle können Hinweise liefern, die PaperCut selbst nicht mehr gespeichert hat.
Bei konkreten Verdachtsmomenten reicht der Patch allein nicht aus. Er schließt die bekannte Eintrittsstelle, entfernt aber keine zuvor angelegten Zugänge. PaperCut empfiehlt in einem solchen Fall, die organisatorischen Abläufe für Sicherheitsvorfälle zu aktivieren, saubere Sicherungen zu schützen und den Application Server vollständig neu aufzusetzen. Wiederhergestellt werden sollte nur eine Sicherung, die nachweislich vor dem verdächtigen Verhalten entstanden ist.
Der kanadische Cyber-Sicherheitsdienst bestätigt die aktive Ausnutzung beider CVEs und empfiehlt, die verfügbaren Aktualisierungen einzuspielen. Eine Aufnahme in den US-Katalog Known Exploited Vulnerabilities war zum Datenstand dieses Artikels dagegen nicht bestätigt.
Spezialfunktionen nach dem Update kontrollieren
Nach der Installation wurden Probleme mit SAML und der selten verwendeten Karten- beziehungsweise ID-Abfrage über externe Datenbanken gemeldet. Für externe Kartenabfragen muss die Funktion nach dem Update ausdrücklich in der Datei security.properties freigegeben werden. Bei SQL Server und dem älteren jTDS-Treiber empfiehlt PaperCut außerdem den Wechsel zum aktuellen Microsoft-SQL-JDBC-Treiber.
Diese möglichen Nebenwirkungen sind ein Grund für eine sorgfältige Funktionskontrolle, aber nicht für das Aufschieben des Notfall-Patches. Da PaperCut seine Warnung und die Angriffsspuren fortlaufend ergänzt, sollten Administratoren das Herstellerbulletin auch nach der Installation weiter beobachten.
Hauptquellen
- PaperCut: Dringende Sicherheitsmeldung und Emergency Patch Release 2
- Huntress: Beobachtete Angriffe und technische Untersuchung
- Canadian Centre for Cyber Security: PaperCut-Sicherheitswarnung
- BleepingComputer: Einordnung des zweiten Notfall-Patches
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
