PaperCut-Zero-Day-Schwachstellen für Datendiebstahl-Angriffe ausgenutzt

Angreifer nutzen zwei kürzlich gepatchte Zero-Day-Schwachstellen in PaperCut aus, um Daten von anfälligen PaperCut NG- und MF-Druckmanagementservern zu stehlen.

Die als CVE-2026-81578 und CVE-2026-82078 verfolgten Schwachstellen können miteinander verkettet werden, um die Authentifizierung zu umgehen und Remote Code Execution zu erreichen. PaperCut veröffentlichte mehrere Notfall-Patches, nachdem das Unternehmen erfahren hatte, dass Angreifer die Schwachstellen bereits als Zero-Days ausgenutzt hatten.

Angreifer zielen auf Datenbanken statt auf Remote Code Execution

Das Threat-Intelligence-Unternehmen Defused meldete ab dem späten 29. August Exploit-Aktivitäten in seinen Honeypots. Demnach missbrauchte ein Bedrohungsakteur die Umgehung der Authentifizierung, um die Kontrolle über die externe Benutzersuchfunktion von PaperCut zu übernehmen.

Anstatt den in öffentlichen Forschungsergebnissen beschriebenen Weg zur Remote Code Execution zu verfolgen, scheint sich der Akteur auf Datendiebstahl zu konzentrieren. Defused erklärte, dass bei den Angriffen Datenbanktabellen über Derby, die von PaperCut verwendete Datenbanktechnologie, ausgelesen werden.

PaperCut hat die Aktivitäten bislang öffentlich keiner bestimmten Bedrohungsgruppe zugeordnet und keine Einzelheiten darüber genannt, was die Angreifer nach der Kompromittierung betroffener Systeme tun. Das Unternehmen hat jedoch Indicators of Compromise veröffentlicht, um Organisationen bei der Untersuchung und Blockierung der Angriffe zu unterstützen.

PaperCut fordert sofortiges Update für exponierte Server

PaperCut veröffentlichte am Donnerstag, Freitag und Dienstag drei Notfall-Updates. Das erste Update enthielt eine dringende Abhilfemaßnahme, während spätere Versionen zusätzliche Sicherheitsmaßnahmen hinzufügten, als das Unternehmen mehr über die Angriffe erfuhr.

Das Unternehmen forderte alle Kunden mit über das Internet erreichbaren PaperCut Application Servers auf, Emergency Patch Release 3 so schnell wie möglich zu installieren. Dies gilt auch für Organisationen, die bereits ein früheres Notfall-Update installiert hatten.

PaperCut erklärte, dass bei Bedarf weitere Notfall-Versionen folgen könnten, bevor das Unternehmen eine vollständig getestete offizielle Version veröffentlicht.

Mehr als 800 PaperCut-Server bleiben exponiert

PaperCut zufolge unterstützt seine Software 100 Millionen Nutzer in mehr als 70.000 Organisationen, darunter Unternehmen, Regierungsbehörden und Bildungseinrichtungen.

Shadowserver verfolgt derzeit mehr als 800 PaperCut NG- und MF-Server, die über das Internet erreichbar sind. Es ist unklar, wie viele dieser Systeme Honeypots sind oder bereits Sicherheitsupdates erhalten haben.

Schwachstellen in PaperCut haben wiederholt sowohl Ransomware-Gruppen als auch staatlich unterstützte Akteure angezogen. Im Jahr 2023 nutzten LockBit und Clop miteinander verkettete PaperCut-Schwachstellen aus, während sich auch die mit Iran in Verbindung gebrachten Akteure MuddyWater und APT35 der Angriffswelle anschlossen.

Das FBI und CISA warnten später davor, dass die Ransomware-Gruppe Bl00dy eine PaperCut-Schwachstelle zur Remote Code Execution für den Erstzugriff nutzte. CISA nahm im Juli 2025 außerdem eine weitere aktiv ausgenutzte PaperCut-Schwachstelle in seinen Known Exploited Vulnerabilities-Katalog auf.