PaperCut hat die technischen Hintergründe der beiden Schwachstellen nachgereicht. CVE-2026-81578 betrifft die Web-Verwaltungsoberfläche von PaperCut NG/MF und ist mit 8.8 als hoch eingestuft. Laut aktualisiertem Advisory können “unter bestimmten Bedingungen unauthentifizierte Anfragen aus der Ferne, die auf administrative Funktionen zielen, Backend-Aktionen auslösen, bevor die Zugriffsprüfungen abgeschlossen sind”.
Die zweite Lücke, CVE-2026-82078, liegt in den Datenbankverbindungs-Werkzeugen und ist mit 9.4 als kritisch bewertet. Die Anwendung lädt Datenbanktreiber-Klassen anhand konfigurierbarer Treibernamen, ohne sie gegen eine Positivliste zu prüfen. “Wenn ein Angreifer Systemkonfigurationsparameter manipulieren kann, ermöglicht dies die Ausführung beliebigen Java-Bytecodes, der sich im Klassenpfad der Anwendung befindet, im Sicherheitskontext des PaperCut-Serverprozesses”, erläutert der Hersteller.
Am Freitag erschien Emergency Patch Release 2. Die Aktualisierung enthält zusätzliche Härtungsmaßnahmen, die nach weiterer Analyse mit dem internen Sicherheitsteam sowie mit Forschern von Huntress und watchTowr entwickelt wurden. “Nach weiterer Arbeit mit unserem internen Sicherheitsteam und externen Forschern, darunter Huntress und watchTowr, haben wir einen aktualisierten Notfall-Patch (Release 2) veröffentlicht, der über den ursprünglichen Notfall-Patch hinausgehende Härtung enthält”, so PaperCut.
Vorausgegangen war die Mitteilung von watchTowr, die eigenen Forscher hätten die Schwachstellen vollständig nachgestellt, mehrere Umgehungen des Patches gefunden und eine zusätzliche Authentifizierungsumgehung entdeckt. BleepingComputer hat Huntress um Auskunft zu den Analyseergebnissen gebeten.
Release 2 steht für PaperCut NG und MF in den Versionen 24, 25 und 26 unter Windows, Linux und macOS bereit. Wer Version 23 oder älter betreibt, soll auf die aktuelle Version wechseln, statt auf einen Patch für diese Ausgaben zu warten. Auch Site Server sowie sekundäre und Druckserver sollen aktualisiert werden; Komponenten wie Print Deploy und Mobility Print sind laut Hersteller nicht betroffen.
Trotz verfügbarer Patches rät PaperCut, den Zugriff auf die Weboberflächen per Firewall-Regeln, Netzwerkzugriffskontrollen oder gleichwertigen Maßnahmen auf vertrauenswürdige IP-Adressen zu beschränken. Administratoren sollten zudem auf verdächtige Aktivitäten des Prozesses pc-app.exe nach einer Ausnutzung, auf fehlende oder abgeschnittene server.log-Dateien sowie auf entsprechende Fehlermeldungen in der server.log achten.
Wer hinter den Angriffen steckt und was die Angreifer nach einer Kompromittierung tun, hat PaperCut nicht offengelegt. Gegenüber BleepingComputer beschrieb das Unternehmen die Angriffe als begrenzt und gezielt: “Unsere Untersuchung dazu, was Angreifer nach der Kompromittierung tun, läuft noch, und verfrühte Details könnten die Reaktion betroffener Kunden erschweren.” Das Bulletin rate Kunden, auf Meldungen von Angriffserkennung, Endpunkt- oder Netzwerküberwachung im Zusammenhang mit dem PaperCut Application Server zu achten; Kompromittierungsindikatoren würden veröffentlicht, sobald sie verifiziert seien.
Bereits 2023 gerieten PaperCut-Server ins Visier, nachdem Angreifer CVE-2023-27350 ausnutzten, eine Kombination aus Authentifizierungsumgehung und Fernausführung von Code. Jene Angriffe wurden zahlreichen Akteuren zugeordnet, darunter die Ransomware-Operationen Clop und LockBit, iranische staatlich unterstützte Gruppen und die Bl00dy Ransomware Gang.