Die Ursache der ersten Lücke liegt in der Autorisierungsprüfung von PaperCut. Laut Huntress kann eine speziell gestaltete Anfrage in ungepatchten Versionen von PaperCut NG und MF auf eine Seite verweisen, die für die Antwort gerendert wird, und zugleich auf eine andere Seite, zu der die tatsächlich ausgeführte Komponente oder Aktion gehört. Die Prüfung vertraue dann der gerenderten Seite und übersehe die Berechtigungen, die die dahinterliegende Komponente erfordert. So lasse sich ohne Authentifizierung die Serverkonfiguration verändern, was den Zugriff auf sensible Endpunkte und unsichere Aktionen eröffnet – am Ende steht die Ausführung beliebigen, vom Angreifer kontrollierten Codes.
“CVE-2026-81578 erlaubt es, die Authentifizierung zu umgehen, und von dort aus können Sie eine Konfigurationsdatei bearbeiten, um CVE-2026-82078 auszunutzen und Remote Code Execution zu erlangen”, sagte Jake Knott, Leiter Threat Intelligence bei watchTowr, gegenüber The Hacker News. Das Unternehmen fand darüber hinaus mehrere Patch-Umgehungen sowie eine weitere Schwachstelle zur Umgehung der Authentifizierung. Eine der Patch-Umgehungen sei mit dem zweiten Notfallpatch behoben worden – zugleich seien neue Umgehungen identifiziert worden, die auch die aktuelle, vollständig gepatchte Version betreffen.
Zur beobachteten Aktivität: In den beiden von Huntress dokumentierten Kundenumgebungen führten die Angreifer Base64-kodierte Befehle auf dem Zielserver aus. Über die verkettete Kommandozeile “whoami & ver” ermittelten sie Benutzerkonto und Betriebssystem. “Zum jetzigen Zeitpunkt haben wir nicht genügend Belege, um das letztliche Ziel der Bedrohungsakteure zu bestimmen”, sagte John Hammond, Senior Principal Security Researcher bei Huntress, gegenüber The Hacker News. Die Aktivität wirke konsistent mit früher Aufklärung oder Validierung.
Zum Einsatz kommt außerdem eine Java-.class-Datei, die betriebssystemunabhängig arbeitet und sowohl unter Linux als auch unter Windows Befehle ausführen kann. Sie erstellt einen Fingerabdruck des Rechners und ein Verzeichnislisting der gespeicherten Dateien. Die Ergebnisse landen in einer Datei namens “Udydn.out” unter dem Pfad “/data/content/” relativ zum Installationsverzeichnis. Anschließend löscht die .class-Datei sowohl “Udydn.out” als auch die “server.log” des Servers und die Datei “/data/internal/derby.log”.
Bei einem weiteren Vorfall, den Huntress auf den 27. August 2026 datiert, kam eine abgewandelte Version der .class-Datei zum Einsatz. Sie führt eine erweiterte Befehlskette aus – “whoami & ver & tasklist” –, um zusätzlich die laufenden Prozesse zu erfassen.
Als Gegenmaßnahmen empfehlen die Forscher, die öffentliche Erreichbarkeit sofort zu beenden, die Patches einzuspielen und den Webzugriff auf den PaperCut Application Server auf vertrauenswürdige IP-Adressen zu beschränken oder ihn hinter ein VPN beziehungsweise einen kontrollierten Administrationspfad zu legen. “PaperCut ist ein erstklassiges Ziel für Angreifer jeder Motivation, denn es ist nicht nur ein ins Internet gerichteter Einstiegspunkt in eine Unternehmensumgebung, sondern auch eine Fundgrube sensibler Informationen, wenn gedruckte Dokumente gespeichert und exfiltriert werden können”, so Knott. Betreiber verwundbarer, aus dem Internet erreichbarer Instanzen sollten zudem nach Anzeichen einer Kompromittierung suchen – etwa nach Fehlermeldungen der Form “Database error looking up cardID: VALUES CAST” in Logdateien.