Die beiden Schwachstellen CVE-2026-81578 und CVE-2026-82078 in PaperCut NG und MF lassen sich verketten: Zuerst wird die Authentifizierung umgangen, anschließend ist die Ausführung beliebigen Codes auf dem Druckmanagement-Server möglich. Beide Lücken wurden als Zero-Days ausgenutzt, bevor Patches vorlagen.
PaperCut Software reagierte mit drei Notfall-Patch-Paketen an drei Tagen. “Die erste Veröffentlichung war eine Notfall-Absicherung. Die nächste brachte weitere Härtungsmaßnahmen, nachdem wir mehr verstanden hatten”, erklärte PaperCut-CEO Chris Dance. Weitere Arbeiten seien im Gange, zusätzliche Notfall-Patches nicht ausgeschlossen; eine vollständig getestete offizielle Version soll folgen. Der Hersteller empfiehlt allen Kunden mit aus dem Internet erreichbaren Application Servers, Release 3 so schnell wie möglich einzuspielen – auch dann, wenn bereits eine frühere Notfallversion installiert wurde.
Das Threat-Intelligence-Unternehmen Defused beobachtet die Angriffe in eigenen Honeypots. “Wir sehen seit gestern Abend UTC (29. August) Exploit-Aktivität zu CVE-2026-81578 / CVE-2026-82078 (PaperCut NG/MF)”, teilte das Unternehmen mit. Ein Akteur missbrauche die Authentifizierungsumgehung, um PaperCuts externe Benutzerabfrage zu kapern. Anders als beim in öffentlichen Analysen beschriebenen Weg über die Codeausführung ziele der Angreifer auf Datendiebstahl und lese Datenbanktabellen über Derby aus.
Shadowserver zählt derzeit über 800 im Internet exponierte PaperCut-MF- und -NG-Server. Wie viele davon Honeypots sind oder bereits abgesichert wurden, ist unklar. PaperCut hat Indikatoren für eine Kompromittierung veröffentlicht, damit Verteidiger laufende Angriffe blockieren können, eine Zuordnung der Angreifer steht aus.
PaperCut-Schwachstellen sind seit Jahren ein beliebtes Ziel – sowohl für staatlich gestützte Gruppen als auch für Ransomware-Banden. Im April 2023 wurden die kritische Lücke zur Codeausführung CVE-2023-27350 und die als hoch eingestufte Informationslecklücke CVE-2023-27351 in Angriffen verkettet, die mit den Ransomware-Gruppen LockBit und Clop in Verbindung gebracht wurden. Zwei Wochen später berichtete Microsoft, dass sich auch die iranischen staatlich gestützten Gruppen Muddywater und APT35 an den Angriffen beteiligten. Damals missbrauchten die Angreifer die Funktion “Print Archiving”, die sämtliche über PaperCut-Druckserver gesendeten Dokumente speichert.
Einen Monat später, im Mai 2023, warnten FBI und CISA davor, dass die Bl00dy-Ransomware-Gruppe CVE-2023-27350 für den Erstzugang zu Netzwerken ihrer Ziele ausnutzte. Im Juli 2025 stufte die US-Behörde CISA zudem eine weitere Schwachstelle zur Codeausführung, CVE-2023-2533, als aktiv ausgenutzt ein.