PaperCut unter Beschuss: Zwei Schwachstellen ermöglichen Pre-Auth-RCE, Wettlauf um Patches

Aktive Ausnutzung von PaperCut und Huntress bestätigt

Am 27. August 2026 hat PaperCut die aktive Ausnutzung einer Pre-Auth-RCE-Schwachstelle in seinen Produkten MF und NG bestätigt. Das Team von Huntress, das mit dem Hersteller zusammengearbeitet hat, hat die Ausnutzung in zwei Kundenumgebungen dokumentiert und die gesamte Angriffskette gegen eine saubere Installation von PaperCut NG 25.0.11.75758 reproduziert. Huntress arbeitet mit PaperCut bei der Analyse der Schwachstelle und der Koordination der Reaktion zusammen. Die beobachtete Aktivität beschränkte sich auf die Systemerkundung: Aus dem analysierten Payload gingen keine sekundäre Malware, kein Command-and-Control-Verkehr und keine Persistenz hervor.

Die Angriffskette: Unberechtigter Zugriff und Laden von Java-Klassen

Die Kompromittierung kombiniert zwei Schwachstellen. Die erste, CVE-2026-81578, ist ein Fehler in der Zugriffskontrolle in der Web-Management-Oberfläche von PaperCut MF und NG. Die NVD-Beschreibung erklärt, dass unter bestimmten Bedingungen nicht authentifizierte Remote-Anfragen administrative Aktionen auslösen können, bevor die Validierungsprüfungen abgeschlossen sind. Ein Angreifer kann daher bestimmte Systemkonfigurationen ohne Anmeldedaten ändern. Der NVD-Eintrag enthält keinen CVSS-Score, Vektor, keine CWE-Klasse und keine Aufnahme in den KEV-Katalog der CISA.

Die zweite Schwachstelle, CVE-2026-82078, betrifft die Datenbank-Dienstprogramme von PaperCut und ermöglicht das Laden unsicherer Java-Klassen. Dies ermöglicht die Ausführung von beliebigem Java-Code auf dem Server.

Huntress beschreibt den Mechanismus als eine speziell gestaltete Anfrage: Der Server zeigt eine Seite an, führt aber eine Aktion aus, die von einer anderen Seite stammt. PaperCut überprüft die Berechtigungen der angezeigten Seite, nicht die der tatsächlich ausgeführten Aktion. Der Angreifer ändert so die Konfiguration ohne Anmeldung und gelangt durch Kombination der beiden Schwachstellen zur Codeausführung.

Betroffene Versionen und Patch-Status

Huntress schätzt, dass etwa 47 % der 2.500 von ihr überwachten PaperCut-Installationen noch Version 23 oder älter verwenden. Für diese Versionen gibt es zum Zeitpunkt der Veröffentlichung des Berichts vom 30. August keinen Patch. Die zweite bestätigte Kompromittierung betraf einen Server mit Version 24, für die die Fixes noch in der Entwicklung waren. PaperCut veröffentlichte zunächst einen Notfall-Patch und dann weniger als 24 Stunden später ein zweites Update nach zusätzlichen Tests. Die Reproduktion von Huntress erfolgte auf PaperCut NG 25.0.11.75758, einer ungepatchten Installation unter Windows.

Systemerkundung, noch keine Zerstörung: Was beobachtet wurde

In den beiden dokumentierten realen Vorfällen haben die Angreifer keine sekundäre Malware verbreitet und keine Persistenz etabliert. Der erste dauerte weniger als zwei Minuten und führte die Befehle whoami und ver aus. Im zweiten wurde zusätzlich tasklist ausgeführt, um Prozesse aufzulisten. Dies ist typische Aktivität der Systemerkundung: Die Akteure kartieren die Umgebung. Huntress hat jedoch die Remote-Codeausführung ohne Authentifizierung unter Windows reproduziert: Der Prozess pc-app.exe startete charmap.exe mit SYSTEM-Berechtigungen, der höchsten verfügbaren Stufe. Ein Angreifer, der diese Stufe erreicht, kann den Server vollständig kompromittieren. PaperCut-Server, die im Internet exponiert sind – häufig in Schulen, Krankenhäusern und Büros –, sind die natürlichen Ziele.

Kompromittierungsindikatoren: Wonach in Logs und Dateisystem suchen

Bei einer Untersuchung empfehlen Huntress und der Untersuchungsleitfaden von PaperCut, nach folgenden Anzeichen zu suchen:

• Eine bösartige Java-Klassendatei, die direkt im Installationsverzeichnis von PaperCut abgelegt wurde.
• Die .class-Datei führt Befehle aus, schreibt die Ausgabe in eine temporäre Datei und löscht sowohl die Ausgabe als auch die server.log des Servers.
• Die .class-Datei löscht ihre eigene Datei Udydn.out und die server.log.
• In der server.log erscheint die Zeichenkette DB URL: jdbc:derby:memory:pwn unmittelbar nach einem großen codierten Datenblock.
• In der Datei /data/internal/derby.log bleibt die Spur memory:...\pwn; das Datenbankverzeichnis mit dem Namen pwn gilt als hochverlässlicher Indikator.
• In realen Angriffen beobachtete Befehle: whoami, ver, tasklist.
• Weitere zu prüfende Elemente: pc-app.exe, die eine Shell oder tasklist startet, unerwartete .class-Dateien im Verzeichnis lib, Spuren einer Löschung von server.log, die Zeichenkette jdbc:derby:memory:pwn im Derby-Log.

Wie man sich schützt und was nach dem Patch zu tun ist

Für unterstützte Versionen besteht die sofortige Maßnahme darin, die von PaperCut veröffentlichten Updates einzuspielen. Für Benutzer von Version 24 waren die Fixes am 30. August noch nicht verfügbar: Die sicherste Option ist, den PaperCut Application Server aus dem öffentlichen Internet zu entfernen und den Zugriff nur über VPN oder ein vertrauenswürdiges internes Netzwerk zu erlauben. Dasselbe gilt für Version 23 und älter, für die kein Patch existiert.

Die Installation des Patches sollte die Reaktion nicht abschließen: Wenn der Server kürzlich öffentlich exponiert war, sollte eine Untersuchung eingeleitet werden. Vor einem Neustart des Servers sollten Logs und Konfigurationsdateien gesichert werden, um keine Beweise zu verlieren. Überprüfen Sie, ob pc-app.exe eine Befehlsshell oder tasklist gestartet hat, und suchen Sie nach unerwarteten .class-Dateien im Verzeichnis lib. Auch ein zweiminütiger Erkundungsversuch kann ein frühes Anzeichen für einen schwerwiegenderen Angriff sein.