CVE-2026-82078
In den Datenbankverbindungs-Utilities von PaperCut MF und PaperCut NG besteht eine Schwachstelle durch unsicheres dynamic class loading. Die Anwendung instanziiert Datenbanktreiber-Klassen auf Basis konfigurierbarer Treibernamen ohne Validierung anhand einer Allowlist zugelassener Treiber. Wenn ein Angreifer Systemkonfigurationsparameter manipulieren kann, ermöglicht dies die Ausführung von beliebigem Java-Bytecode auf dem Application Classpath unter dem Sicherheitskontext des PaperCut-Serverprozesses.
Aktiv ausgenutzt
- Seit dem 31.08.2026 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 14.09.2026 beheben (BOD 22-01)
- Angegriffen 1 Tag bevor die Schwachstelle öffentlich wurde
- Durch Sensoren bestätigt, nicht nur durch Meldungen
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Quelle: CISA KEV · 15.10.2026 13.10.2026 28.09.2026 09.09.2026 09.09.2026 09.09.2026
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| papercut | papercut mf | < 24.1.9 |
| papercut | papercut ng | < 24.1.9 |
Verwandte Artikel
FortiMail- und NetScaler-Angriffe setzen Unternehmen unter dringenden Patchdruck
Aktive Angriffe auf FortiMail und NetScaler: CISA fordert Patches. Betroffene Versionen, Risiken und Schutzmaßnahmen im Überblick.
KI-gesteuerte PaperCut-Kampagne kompromittiert weltweit 395 Organisationen
KI-Agenten nutzten PaperCut-Lücken aus und kompromittierten 395 Organisationen in 48 Ländern, stahlen Zugangsdaten und erlangten Domänenadmin-Rechte.
PostgreSQL: Schwachstelle im Logical Decoding ermöglicht Codeausführung als Benutzer `postgres`
CVE-2026-6471 erlaubt Codeausführung als postgres via Logical Decoding ohne Superuser. Betroffen: Versionen 14-18. Update auf 18.6, 17.11 u.a. nötig.
Sangoma Switchvox unter Beschuss: Kritische SQL-Injection ermöglicht Remote-Codeausführung
CVE-2026-9586 in Sangoma Switchvox wird aktiv ausgenutzt: SQL-Injection über /pa ermöglicht RCE. Jetzt auf 8.4.0.2 updaten und Logs prüfen.
PaperCut: Zwei ausgenutzte Zero-Days, doppelter Notfall-Fix
PaperCut veröffentlicht Notfall-Fixes für zwei Zero-Day-Schwachstellen CVE-2026-81578 und CVE-2026-82078 in Druckmanagement-Software. Angriffe erfordern sofortige Patches.
PaperCut unter Beschuss: Zwei Schwachstellen ermöglichen Pre-Auth-RCE, Wettlauf um Patches
PaperCut-Sicherheitslücken: Pre-Auth-RCE aktiv ausgenutzt. Patches verfügbar, IOCs und Schutzhinweise.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.