Zwei erst kürzlich bekannt gewordene Schwachstellen in PaperCut werden nach Beobachtungen des Arctic Wolf Adversary Research Team bereits aktiv für Angriffe genutzt. Im Zentrum stehen CVE-2026-81578 und CVE-2026-82078 – eine Umgehung der Authentifizierung und eine Schwachstelle zur Codeausführung aus der Ferne, die sich zu einer Angriffskette verbinden lassen.
Über diese Kette führten die Angreifer laut Arctic Wolf Befehle auf den betroffenen Servern aus, sammelten Informationen über die Umgebung und legten Konten mit erhöhten Rechten an. “Zur beobachteten Aktivität nach der Ausnutzung gehörten das Ausliefern von Werkzeugen zum Sammeln von Windows-Registry-Hives, Java-Payloads mit Bezug zu Metasploit beziehungsweise Meterpreter sowie Befehle zur Identifizierung von Hosts, Benutzern, Prozessen und sensiblen Konfigurationsdaten”, erklärte das Unternehmen.
Gegenüber The Hacker News präzisierte Arctic Wolf, dass sich die Angriffe gegen verwundbare PaperCut-Server im Bildungssektor richten. Betroffen sind demnach Einrichtungen unterschiedlicher Größe – von Schulen bis hin zu großen Universitäten in den USA und Europa.
In einer Sandbox stießen die Forscher zudem auf eine Datei namens “lsa_collect.exe”. Sie extrahiert gezielt bestimmte Registry-Schlüssel, um daraus den BootKey des Systems zu rekonstruieren. Mit diesem Schlüssel lässt sich anschließend auf die SAM-Datenbank zugreifen – und damit auf die dort hinterlegten Anmeldeinformationen.
Genau darin sieht Arctic Wolf das Kernrisiko: “Die Sorge ist, dass diese gestohlenen Anmeldedaten Angreifern einen Weg in andere kritische Systeme der Umgebung eröffnen könnten. Zur Aktivität nach der Kompromittierung gehörte der Einsatz der Windows-Registry”, so das Unternehmen.
Als Gegenmaßnahme rät Arctic Wolf, PaperCut-Server nicht aus dem Internet erreichbar zu machen. Zusätzlich sollten Administratoren die Ausführung von cmd.exe, powershell.exe und anderen Skript- oder Befehlsinterpretern überwachen. Ein besonderes Warnsignal sind Befehle wie whoami, tasklist, ver oder uname -a, wenn pc-app.exe als übergeordneter Prozess auftritt.