Die erste der beiden Schwachstellen, CVE-2026-81578, ist eine als hoch eingestufte Authentifizierungsumgehung. Sie erlaubt einem entfernten, nicht authentifizierten Angreifer, bestimmte Systemkonfigurationen zu verändern.
Die zweite Lücke, CVE-2026-82078, gilt als kritisch und betrifft unsicheres dynamisches Laden von Klassen in den Werkzeugen für Datenbankverbindungen. „Wenn ein Angreifer Systemkonfigurationsparameter manipulieren kann, ermöglicht dies die Ausführung beliebigen Java-Bytecodes, der sich im Klassenpfad der Anwendung befindet, im Sicherheitskontext des PaperCut-Serverprozesses“, erklärt PaperCut in seinem Advisory.
Das Unternehmen aktualisiert das Advisory fortlaufend. Am Sonntag hieß es dort, die Teams arbeiteten weiterhin an einer offiziellen Version, die CVE-2026-82078 und CVE-2026-81578 vollständig behebt.
Auslöser für den zweiten Notfall-Patch waren Erkenntnisse von WatchTowr: Die Sicherheitsfirma berichtete, sie habe mehrere Umgehungen des ersten Patches sowie eine zusätzliche Schwachstelle zur Authentifizierungsumgehung entdeckt.
Huntress beobachtete Angriffe gegen mindestens zwei Kunden; die ersten Ausnutzungsversuche registrierte das Unternehmen am 26. August. „Die beobachtete Aktivität konzentrierte sich auf Systemerkundung“, so Huntress. Aus der wiederhergestellten Schadfracht habe man keine nachgelagerte Schadsoftware, keinen weiteren Command-and-Control-Verkehr und keine zusätzliche Persistenz oder Nachnutzung feststellen können.
Angriffe auf PaperCut NG/MF sind kein Novum: Im KEV-Katalog der US-Behörde CISA sind bereits drei weitere Schwachstellen des Produkts verzeichnet, zwei davon wurden in Ransomware-Angriffen ausgenutzt.
Zur Größenordnung der Angriffsfläche: Nach Zahlen der ShadowServer Foundation sind aktuell etwa 1.000 PaperCut-Instanzen offen aus dem Internet erreichbar, überwiegend in Nordamerika und Europa. Wer die Zero-Days ausnutzt und mit welcher Motivation, ist weiterhin offen.