Das auf Exposure Management spezialisierte Unternehmen WatchTowr verfolgt die Angriffswelle und meldet eine deutliche Verschärfung. “Die Aktivität hat sich erheblich weiterentwickelt, und zwar schnell — wir sehen nicht mehr nur rein erkundende Scans zum Auffinden verwundbarer Systeme, sondern reale Ausnutzung, begleitet von manueller Interaktion menschlicher Angreifer, die die von ihnen kompromittierten Systeme erkunden”, erklärte Jake Knott, Leiter Threat Intelligence bei WatchTowr, per E-Mail.
Bemerkenswert sei dabei das Niveau der Angriffe: Es liege “über dem Durchschnitt” — wobei die Messlatte weiterhin sehr niedrig sei —, so Knott. Ein Teil der beobachteten Aktivität sei ausschließlich darauf ausgelegt, vom externen ins interne Netz zu wechseln und die Angriffe dort fortzusetzen.
“Angreifer sind wie immer eigennützig — sie koppeln den Zugriff an ihre im Arbeitsspeicher abgelegten Payloads, damit ausschließlich sie selbst auf die kompromittierten Hosts zugreifen und weitermachen können”, ergänzte Knott. Dieses Verhalten sei typisch für Initial Access Broker und andere Akteure mit aggressiveren Zielsetzungen.
Auch die von PaperCut aktualisierten Kompromittierungsindikatoren (IoCs) deuten auf eine Eskalation hin — konkret auf den Einsatz von Fernzugriffswerkzeugen auf angegriffenen Systemen. Technische Details zu CVE-2026-82078 und CVE-2026-81578 haben zudem die Sicherheitsfirmen Huntress und Rapid7 veröffentlicht.
Beide Schwachstellen erlauben es nicht authentifizierten Angreifern, die Authentifizierung zu umgehen und Code aus der Ferne auszuführen. Da die Lücken in Kombination ausgenutzt werden, reichte der erste Notfall-Patch von PaperCut nicht aus: Er wurde umgangen, woraufhin der Hersteller nachlegte. Eine reguläre Version, die beide Probleme adressiert, ist in Arbeit.
WatchTowr rät Betreibern, nicht auf das Einspielen der Updates zu vertrauen. “Wenn Systeme in den vergangenen Tagen zu irgendeinem Zeitpunkt ungepatcht aus dem Internet erreichbar waren, sollten sie als von einem aktiven Angreifer kompromittiert gelten, der verwundbare Hosts nach interessanten oder wertvollen Zielen durchkämmt”, warnte Knott. Wer es noch nicht getan habe, solle jetzt die Prozesse zur Vorfallreaktion anstoßen: “Patchen allein sperrt neue Angreifer aus, lässt bestehenden Angreifern aber ihren Zugang und die Möglichkeit, weiter vorzudringen.”
Die Aufnahme in den KEV-Katalog verpflichtet US-Bundesbehörden, die beiden Schwachstellen bis zum 14. September zu beheben. Die von ShadowServer gezählten über 1.000 im Internet exponierten PaperCut-NG/MF-Instanzen markieren die potenzielle Angriffsfläche.