PaperCut hat am 27. August 2026 vor einer aktiv ausgenutzten Schwachstelle in seiner Druckmanagement-Software PaperCut NG und PaperCut MF gewarnt. Der Hersteller bestätigt Vorfälle bei Kunden und empfiehlt Betreibern, ihre Application Server sofort vom Internet zu trennen oder den Zugriff auf vertrauenswürdige IP-Adressen zu beschränken.
Betroffen sind nach den bisher veröffentlichten Angaben alle Versionen von PaperCut NG und PaperCut MF. Eine grundsätzlich nicht betroffene Version hat PaperCut zum Recherchezeitpunkt nicht genannt. Die Aussage bezieht sich auf diese beiden Produkte und nicht automatisch auf PaperCut Hive oder andere Angebote des Herstellers.
Laut der Auswertung des PaperCut-Bulletins durch Secure ISS stehen für Version 25 und Version 26 Notfall-Patches bereit. Eine entsprechende Korrektur für Version 24 war am 28. August noch in Arbeit. Die Verfügbarkeit eines Patches bedeutet dabei nicht, dass er bereits installiert ist. Betreiber müssen zunächst ihre eingesetzte Version prüfen und anschließend das passende Paket einspielen.
PaperCut empfiehlt, den Application Server bis dahin nicht ungeschützt aus dem Internet erreichbar zu machen. Der Zugriff soll auf vertrauenswürdige IP-Adressen begrenzt werden. Diese Eindämmung ergänzt das Patchen und ersetzt es nicht.
PaperCut schreibt in seiner Sicherheitswarnung, dem Unternehmen seien bestätigte Kunden-Vorfälle bekannt; die Untersuchung laufe mit höchster Priorität weiter. Den Angaben zufolge konnte der Hersteller die Schwachstelle mithilfe eines Universitätskunden und dessen Incident-Response-Team reproduzieren.
KontextWas PaperCut bereits früher erfolgreich angegriffen – und was bedeutete das für betroffene Server?
Ein früherer Vorfall zeigt, warum ein öffentlich erreichbarer PaperCut-Server mehr als ein gewöhnliches Update-Thema sein kann. Im April 2023 meldete PaperCut Ausnutzungen ungepatchter NG- und MF-Server, nachdem die damaligen Korrekturen bereits veröffentlicht worden waren. CISA und FBI beschrieben die damalige Schwachstelle als nicht authentifizierten Weg zur Remotecodeausführung. Nach ihrer Analyse konnte der PaperCut-Serverprozess mit SYSTEM- oder Root-Rechten laufen, sodass nach einer Ausnutzung gestartete Prozesse diese Rechte erben konnten. Für Organisationen, die damals nicht rechtzeitig gepatcht hatten, empfahl CISA, von einer möglichen Kompromittierung auszugehen und gezielt nach verdächtigen Aktivitäten zu suchen. Das betrifft nachweislich den Vorfall von 2023, nicht automatisch die aktuelle Schwachstelle.
3 zusätzliche Kontextquellen
Nach Berichten von Secure ISS und SecurityWeek waren eine CVE-Nummer, ein Schweregrad und eine CVSS-Bewertung weiterhin nicht veröffentlicht. Technische Details sind inzwischen teilweise öffentlich: Huntress beschreibt die Schwachstelle als unauthentifizierten Zugriff auf eine vertrauenswürdige PaperCut-Konfiguration, der die Ausführung beliebigen Java-Codes im Anwendungskontext ermöglichen könne. Diese technische Einordnung stammt aus der Analyse von Huntress und ist keine vollständige Herstellerbeschreibung. Die vollständige technische Ursache, der genaue Angriffspfad und eine offizielle Bestätigung dieser Einordnung durch PaperCut sind weiterhin nicht veröffentlicht. Die bestätigte aktive Ausnutzung macht die Warnung für Betreiber unmittelbar relevant.
Quellen & Beleglage
6 Quellen zur NachrichtEineNachricht formuliert eigenständig. Die Angaben unten beschreiben, wofür die jeweilige Quelle in dieser Fassung verwendet wurde; die Quellenart ist kein Gütesiegel für sämtliche Aussagen der Quelle.
Verwendet für: Primäre Herstellerquelle für die dringende Sicherheitswarnung zu PaperCut NG und MF.
Knowledge Base - Security Bulletins Articles ↗ (öffnet in neuem Tab)Verwendet für: Herstellerübersicht, die die Veröffentlichung der aktuellen Sicherheitsinformationen zeitlich einordnet.
What's new in the KB ↗ (öffnet in neuem Tab)Verwendet für: Berichtet über die bestätigte Ausnutzung, Kunden-Vorfälle, die empfohlenen Eindämmungsmaßnahmen und den Stand der Notfall-Patches.
Quelle öffnen ↗ (öffnet in neuem Tab)Verwendet für: Ordnet Betroffenheit, Patch-Stand sowie das Fehlen von CVE-, Schweregrad- und technischen Angaben ein.
Quelle öffnen ↗ (öffnet in neuem Tab)Verwendet für: Bestätigt in unabhängiger Berichterstattung die aktive Ausnutzung, die betroffenen Versionen, die verfügbaren Patches und die empfohlenen Schutzmaßnahmen.
Quelle öffnen ↗ (öffnet in neuem Tab)Verwendet für: Huntress liefert eine technische Einordnung der aktiv ausgenutzten PaperCut-Schwachstelle und beschreibt den bislang öffentlich nicht dokumentierten unauthentifizierten Angriffspfad sowie die möglichen Auswirkungen.
Quelle öffnen ↗ (öffnet in neuem Tab)Was wir weiter beobachten
Diese Punkte sind für mögliche Aktualisierungen noch nicht abschließend geklärt:
- Ändern sich der bestätigte Ausnutzungsstatus, die verfügbaren Notfall-Patches oder die empfohlenen Eindämmungsmaßnahmen für PaperCut NG und MF?
Aktualisierungen
- Aktualisierung: Eine technische Analyse von Huntress beschreibt den Angriff inzwischen als unauthentifizierten Zugriff auf eine vertrauenswürdige PaperCut-Konfiguration mit möglicher Ausführung beliebigen Java-Codes. Eine CVE-Nummer sowie Angaben zu Schweregrad und CVSS fehlen weiterhin;.