Zero-Day bei PaperCut NG und MF: aktiv ausgenutzt, alle Versionen gefährdet

Eine neue Schwachstelle ohne CVE und mit bestätigten Kompromittierungen

Am 27. August 2026 wurde bekannt, dass PaperCut Software eine dringende Warnung zu einer als Zero-Day ausgenutzten Schwachstelle gegen PaperCut-Kunden veröffentlicht hat. Die Schwachstelle betrifft alle Versionen von PaperCut NG und PaperCut MF und betrifft den PaperCut Application Server, insbesondere Installationen mit einer dem Internet ausgesetzten Weboberfläche. Es wurde noch keine CVE zugewiesen und es wurden keine technischen Details zur Schwachstelle oder zum Exploit-Vektor veröffentlicht.

PaperCut bestätigt Vorfälle bei Kunden und betrachtet die Angelegenheit als prioritar. Das Sicherheitsteam hat die Schwachstelle anhand von Informationen eines Universitätskunden reproduziert. Es wurden keine Akteure, Aktionen nach der Kompromittierung oder mögliche Datenexfiltration bekannt gegeben. Es ist nicht bekannt, wann die Kompromittierungen begonnen haben.

Für die neue Schwachstelle sind kein CVSS-Score und keine CWE-Klassifizierung verfügbar. Die operative Relevanz ergibt sich aus der aktiven Ausnutzung und der Betroffenheit aller Versionen.

Sofortige Gegenmaßnahmen: Firewall und Notfall-Patches

PaperCut hat Notfall-Patches für Kunden mit öffentlichen PaperCut NG/MF-Servern veröffentlicht, die keine anderen Gegenmaßnahmen ergreifen können. Die erste Empfehlung ist, den Zugriff auf die Weboberfläche der exponierten Application Server sofort auf vertrauenswürdige IPs zu beschränken, etwa durch Firewall-Regeln oder Netzwerkzugriffskontrollen. Falls keine Einschränkungen möglich sind, wird die Installation der Notfall-Patches empfohlen.

Es gibt noch keine Details zum Exploit-Mechanismus: PaperCut hat nicht erklärt, ob es sich um einen Authentifizierungs-Bypass, Codeausführung oder etwas anderes handelt. Das Fehlen einer CVE erschwert das automatische Tracking für Sicherheitsteams, aber die operative Priorität bleibt, die Exposition zu reduzieren und zu aktualisieren.

Indikatoren für eine Kompromittierung, nach denen gesucht werden sollte

PaperCut hat einige Indikatoren für die aktuelle Kampagne gemeldet:

• verdächtige Aktivität durch den legitimen Prozess pc-app.exe;
• geänderte, gelöschte oder fehlende server.log-Dateien;
• Fehler in server.log: ERROR No suitable driver found for jdbc:no:x und ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST.

Das Fehlen dieser Indikatoren schließt eine Kompromittierung nicht aus. PaperCut hat klargestellt, dass die Meldung mit weiteren IOCs und Hinweisen zur Behebung aktualisiert wird.

Der Präzedenzfall: CVE-2023-27350, kritisch 9.8 und bei Ransomware eingesetzt

Die neue Zero-Day-Lücke trifft kein Produkt ohne Vorgeschichte. Im April 2023 begann die aktive Ausnutzung von CVE-2023-27350, einer kritischen Schwachstelle mit CVSS-Score 9.8 und Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Die Schwachstelle ermöglichte es entfernten Angreifern, die Authentifizierung auf PaperCut NG 22.0.5 Installationen (Build 63914) zu umgehen und beliebigen Code im Kontext SYSTEM auszuführen. Der Fehler lag in der Klasse SetupCompleted und wurde durch eine unsachgemäße Zugriffskontrolle (CWE-284) verursacht. Die ZDI-Referenz war ZDI-CAN-18987.

Von CVE-2023-27350 betroffen waren PaperCut MF und PaperCut NG vor Version 20.1.7. Am 21. April 2023 hat die CISA die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Frist zur Behebung für US-Bundesbehörden bis zum 12. Mai 2023. Die geforderte Maßnahme war das Einspielen von Updates gemäß den Anweisungen des Herstellers.

CVE-2023-27350 wurde nachweislich in Ransomware-Kampagnen genutzt. Microsoft hat einige Eindringversuche mit der Clop-Operation in Verbindung gebracht, die für den initialen Zugriff genutzt wurde, und beobachtete Angriffe, die in LockBit-Ransomware mündeten. Clop erklärte, die Schwachstelle für den initialen Zugriff verwendet zu haben und nicht, um direkt von PaperCut-Servern archivierte Dokumente zu entwenden, obwohl die Print-Archiving-Funktion Dokumente speichern kann. Microsoft meldete auch staatlich gesponserte iranische Hackergruppen, die die CVE nutzten. Im Mai 2023 beschrieb eine gemeinsame Empfehlung von CISA und FBI die Ransomware-Bande Bl00dy dabei, wie sie anfällige PaperCut-Server gegen den Bildungssektor ausnutzte.

Für die neue Zero-Day-Lücke, der noch keine CVE zugewiesen wurde, gibt es derzeit keinen Eintrag im KEV-Katalog der CISA.

Was jetzt zu tun ist

Wer PaperCut NG- oder MF-Server betreibt, muss davon ausgehen, dass die direkte Internet-Exposition das Hauptrisiko darstellt. Es gibt drei Sofortmaßnahmen: den Zugriff auf die Weboberfläche auf vertrauenswürdige Adressen zu beschränken, die Notfall-Patches dort anzuwenden, wo keine Einschränkung möglich ist, und in den Protokollen nach den gemeldeten Indikatoren zu suchen. Die Suche sollte auch auf Systeme ausgeweitet werden, bei denen server.log fehlt oder verändert wurde, denn das Löschen von Protokollen ist selbst ein Signal.

Es ist noch unklar, ob die neue Schwachstelle ähnliche Auswirkungen wie CVE-2023-27350 hat, also Codeausführung als SYSTEM und Authentifizierungs-Bypass. Die Betroffenheit aller Versionen und die bestätigten Kompromittierungen rechtfertigen ein sofortiges Eingreifen, ohne auf technische Details oder eine CVE zu warten. PaperCut hat angegeben, dass die Meldung mit weiteren IOCs und Hinweisen zur Behebung aktualisiert wird: Wer bereits erste Minderungsmaßnahmen umgesetzt hat, sollte die Updates weiterverfolgen.