#Netzwerk & Sicherheit · 4 Min. Lesezeit · Tim Rinkel

NOTFALL-PATCH ZUM ZWEITEN MAL! Angreifer sitzen längst auf den Druckservern — und ALLE Versionen sind betroffen

NOTFALL-PATCH ZUM ZWEITEN MAL! Angreifer sitzen längst auf den Druckservern — und ALLE Versionen sind betroffen

Es ist der Albtraum jeder IT-Abteilung: Der Hersteller weiß, dass etwas kaputt ist — aber die Angreifer wissen es schon länger. Genau das passiert gerade bei PaperCut, der Druckmanagement-Software, die in unzähligen Schulen, Universitäten, Behörden und Firmen läuft.

DER ALARM KAM AM DONNERSTAG

Am 27. August veröffentlichte PaperCut Software eine dringende Sicherheitswarnung. Der Wortlaut ließ wenig Interpretationsspielraum: Man untersuche die aktive Ausnutzung einer Schwachstelle in PaperCut NG und PaperCut MF. Kundenvorfälle seien bestätigt. Der Hersteller behandelt die Sache als Sicherheits-Notfall.

Einen Tag später wurde konkreter, was da eigentlich ausgenutzt wird. PaperCut vergab zwei CVE-Nummern — denn es ist keine einzelne Lücke, sondern eine Kette:

  • CVE-2026-82078 — unsicheres dynamisches Laden von Klassen in den Datenbank-Verbindungswerkzeugen von NG und MF.
  • CVE-2026-81578 — fehlerhafte Zugriffskontrolle in der Web-Verwaltungsoberfläche der beiden Produkte.

Warum die Kombination so gefährlich ist

Getrennt betrachtet klingt beides technisch. Zusammen ergibt es das klassische Muster: Erst kommt jemand an eine Stelle, an die er nicht kommen dürfte (die Zugriffskontrolle). Und dann bringt er den Server dazu, Code zu laden, den er selbst bestimmt (das dynamische Klassenladen). Am Ende steht das, was Angreifer wollen — eigener Code auf einem Server, der tief im Netz sitzt und mit Druckern, Nutzerkonten und oft auch dem Verzeichnisdienst spricht.

ALLE VERSIONEN. WIRKLICH ALLE.

Das ist der Satz, der die Sache besonders unangenehm macht: PaperCut betrachtet derzeit alle Versionen von NG und MF als potenziell betroffen. Es gibt also nicht die eine sichere Zweigversion, auf der man sich ausruhen könnte.

Gepatcht wurde in Etappen. Am 28. August lieferte PaperCut zunächst Notfall-Updates für die Versionsreihen 25 und 26, im Laufe desselben Tages folgten Patches für Version 24. Am 30. August berichteten mehrere Sicherheitsmedien von einem zweiten Notfall-Patch — ein Zeichen dafür, dass die erste Runde nicht alles abgedeckt hat. Prüfe also unbedingt, ob deine Installation wirklich auf dem allerneuesten Stand ist und nicht nur auf dem Stand von Freitag.

DAS HATTEN WIR SCHON EINMAL

PaperCut ist kein unbeschriebenes Blatt. 2023 wurde CVE-2023-27350 in großem Stil ausgenutzt — von mehreren Angreifergruppen, darunter Ransomware-Banden. Der Grund ist immer derselbe: Druckserver stehen mitten im Netz, sie sind mit vielen Systemen verbunden, und ihre Verwaltungsoberflächen hängen erschreckend oft direkt im Internet, weil das Homeoffice ja auch drucken können soll.

WAS DU JETZT KONKRET TUN SOLLTEST

1. Version prüfen und aktualisieren. Öffne die Admin-Oberfläche und gleiche deine Version mit dem aktuellen Sicherheitshinweis von PaperCut ab. Nicht „irgendein Update von letzter Woche“ — die neueste.

2. Die Verwaltungsoberfläche vom Internet trennen. Der Zugriff auf den Admin-Bereich gehört hinter VPN oder in ein abgeschottetes Verwaltungsnetz. Das ist die wirksamste Sofortmaßnahme, wenn du nicht sofort patchen kannst.

3. Nach Spuren suchen. Sieh dir die Server-Logs an: unerwartete Admin-Anmeldungen, neue Konten, Zugriffe auf die Datenbank-Verbindungseinstellungen, Prozesse, die der Druckserver eigentlich nie startet. Bei aktiv ausgenutzten Lücken gilt: Patchen allein reicht nicht, wenn jemand vorher schon drin war.

4. Das Konto entmachten. Läuft dein PaperCut-Dienst mit einem Domänen-Administrator? Dann ist jetzt der Moment, das zu ändern.

FAZIT

Ein Druckserver ist für viele die langweiligste Kiste im Rack — und genau deshalb so ein dankbares Ziel. Wenn du PaperCut betreibst, ist dieses Wochenende kein Wochenende. Update einspielen, Admin-Oberfläche wegsperren, Logs durchsehen. In dieser Reihenfolge.

Häufige Fragen

Welche Versionen von PaperCut sind betroffen?
Der Hersteller stuft derzeit alle Versionen von PaperCut NG und PaperCut MF als potenziell betroffen ein. Notfall-Patches gibt es für die Reihen 24, 25 und 26 — prüfe im offiziellen Sicherheitshinweis, welche Version für deinen Zweig aktuell die richtige ist.
Woran erkenne ich, ob mein Server angegriffen wurde?
Achte auf ungewöhnliche Anmeldungen im Admin-Bereich, neu angelegte Konten, Änderungen an den Datenbank-Verbindungseinstellungen und auf Prozesse, die der Druckserver normalerweise nicht startet. PaperCut spricht von bestätigten Kundenvorfällen — ein sauberer Log-Durchgang ist Pflicht, nicht Kür.
Was mache ich, wenn ich nicht sofort patchen kann?
Nimm die Web-Verwaltungsoberfläche aus dem Internet. Zugriff nur noch über VPN oder aus einem getrennten Verwaltungsnetz. Das schließt die Lücke nicht, aber es macht sie für Angreifer von außen unerreichbar.
Ist das dieselbe Lücke wie 2023?
Nein. 2023 war CVE-2023-27350, die damals massenhaft von Ransomware-Gruppen ausgenutzt wurde. Jetzt geht es um die neuen CVEs 2026-81578 und 2026-82078. Das Muster ist allerdings dasselbe: exponierte Verwaltungsoberfläche plus Code-Ausführung.

Quellen

Kommentar hinterlassen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert