Es ist der Albtraum jeder IT-Abteilung: Der Hersteller weiß, dass etwas kaputt ist — aber die Angreifer wissen es schon länger. Genau das passiert gerade bei PaperCut, der Druckmanagement-Software, die in unzähligen Schulen, Universitäten, Behörden und Firmen läuft.
DER ALARM KAM AM DONNERSTAG
Am 27. August veröffentlichte PaperCut Software eine dringende Sicherheitswarnung. Der Wortlaut ließ wenig Interpretationsspielraum: Man untersuche die aktive Ausnutzung einer Schwachstelle in PaperCut NG und PaperCut MF. Kundenvorfälle seien bestätigt. Der Hersteller behandelt die Sache als Sicherheits-Notfall.
Einen Tag später wurde konkreter, was da eigentlich ausgenutzt wird. PaperCut vergab zwei CVE-Nummern — denn es ist keine einzelne Lücke, sondern eine Kette:
- CVE-2026-82078 — unsicheres dynamisches Laden von Klassen in den Datenbank-Verbindungswerkzeugen von NG und MF.
- CVE-2026-81578 — fehlerhafte Zugriffskontrolle in der Web-Verwaltungsoberfläche der beiden Produkte.
Warum die Kombination so gefährlich ist
Getrennt betrachtet klingt beides technisch. Zusammen ergibt es das klassische Muster: Erst kommt jemand an eine Stelle, an die er nicht kommen dürfte (die Zugriffskontrolle). Und dann bringt er den Server dazu, Code zu laden, den er selbst bestimmt (das dynamische Klassenladen). Am Ende steht das, was Angreifer wollen — eigener Code auf einem Server, der tief im Netz sitzt und mit Druckern, Nutzerkonten und oft auch dem Verzeichnisdienst spricht.
ALLE VERSIONEN. WIRKLICH ALLE.
Das ist der Satz, der die Sache besonders unangenehm macht: PaperCut betrachtet derzeit alle Versionen von NG und MF als potenziell betroffen. Es gibt also nicht die eine sichere Zweigversion, auf der man sich ausruhen könnte.
Gepatcht wurde in Etappen. Am 28. August lieferte PaperCut zunächst Notfall-Updates für die Versionsreihen 25 und 26, im Laufe desselben Tages folgten Patches für Version 24. Am 30. August berichteten mehrere Sicherheitsmedien von einem zweiten Notfall-Patch — ein Zeichen dafür, dass die erste Runde nicht alles abgedeckt hat. Prüfe also unbedingt, ob deine Installation wirklich auf dem allerneuesten Stand ist und nicht nur auf dem Stand von Freitag.
DAS HATTEN WIR SCHON EINMAL
PaperCut ist kein unbeschriebenes Blatt. 2023 wurde CVE-2023-27350 in großem Stil ausgenutzt — von mehreren Angreifergruppen, darunter Ransomware-Banden. Der Grund ist immer derselbe: Druckserver stehen mitten im Netz, sie sind mit vielen Systemen verbunden, und ihre Verwaltungsoberflächen hängen erschreckend oft direkt im Internet, weil das Homeoffice ja auch drucken können soll.
WAS DU JETZT KONKRET TUN SOLLTEST
1. Version prüfen und aktualisieren. Öffne die Admin-Oberfläche und gleiche deine Version mit dem aktuellen Sicherheitshinweis von PaperCut ab. Nicht „irgendein Update von letzter Woche“ — die neueste.
2. Die Verwaltungsoberfläche vom Internet trennen. Der Zugriff auf den Admin-Bereich gehört hinter VPN oder in ein abgeschottetes Verwaltungsnetz. Das ist die wirksamste Sofortmaßnahme, wenn du nicht sofort patchen kannst.
3. Nach Spuren suchen. Sieh dir die Server-Logs an: unerwartete Admin-Anmeldungen, neue Konten, Zugriffe auf die Datenbank-Verbindungseinstellungen, Prozesse, die der Druckserver eigentlich nie startet. Bei aktiv ausgenutzten Lücken gilt: Patchen allein reicht nicht, wenn jemand vorher schon drin war.
4. Das Konto entmachten. Läuft dein PaperCut-Dienst mit einem Domänen-Administrator? Dann ist jetzt der Moment, das zu ändern.
FAZIT
Ein Druckserver ist für viele die langweiligste Kiste im Rack — und genau deshalb so ein dankbares Ziel. Wenn du PaperCut betreibst, ist dieses Wochenende kein Wochenende. Update einspielen, Admin-Oberfläche wegsperren, Logs durchsehen. In dieser Reihenfolge.
Häufige Fragen
Welche Versionen von PaperCut sind betroffen?
Woran erkenne ich, ob mein Server angegriffen wurde?
Was mache ich, wenn ich nicht sofort patchen kann?
Ist das dieselbe Lücke wie 2023?
Quellen
- Rapid7 — PaperCut NG/MF Critical Zero-Day Exploited in the Wild
- Help Net Security — PaperCut NG/MF vulnerabilities exploited in zero-day attacks
- BleepingComputer — PaperCut warns of NG, MF flaw exploited in zero-day attacks
- The Hacker News — PaperCut Zero-Day Exploited in Attacks
- SecurityWeek — PaperCut Releases Emergency Patch for Exploited Zero-Day