PaperCut-NG/MF-Kette steht auf CISAs Liste überfälliger Patches – Update auf neue Builds

PaperCut hat seine Notfall-Patches durch formale Maintenance-Releases ersetzt – 26.0.5, 25.0.13 und 24.1.10 – für PaperCut NG und PaperCut MF. Damit werden zwei verkettete Schwachstellen geschlossen, die CISA am 31. August in den Known Exploited Vulnerabilities-Katalog aufgenommen hat. Die Bundesfrist für die Behebung, der 14. September, ist bereits verstrichen.

Zwei Schwachstellen, eine Exploit-Kette

CVE-2026-81578 (CVSS 8.8) ist eine Schwachstelle fehlender Authentifizierung im Web-Management-Interface: Anfragen auf administrative Funktionen können Backend-Aktionen auslösen, bevor die Zugriffsprüfungen abgeschlossen sind, wodurch ein nicht authentifizierter Angreifer die Systemkonfiguration verändern kann. CVE-2026-82078 (CVSS 9.4) ist ein separates, schwerwiegenderes Problem in den Datenbank-Verbindungsdienstprogrammen, die Treiberklassen aus einem konfigurierbaren Namen instanziieren, ohne diesen gegen eine Allowlist zu prüfen – ein Angreifer, der diese Einstellung erreichen kann, kann beliebigen Java-Bytecode unter dem PaperCut-Serverprozess ausführen lassen.

Zusammen verkettet geben die beiden Schwachstellen einem nicht authentifizierten Angreifer einen Weg zur Remote-Code-Ausführung auf dem Application Server. PaperCut hat aktive Ausnutzung und mehrere Kundenvorfälle bestätigt, und laut der Analyse von Rapid7 kursiert bereits ein Metasploit-Modul, das die Exposition gegenüber der Kette validiert.

Wer betroffen ist

PaperCut NG und MF sind Druckmanagement-Plattformen, die von mehr als 70.000 Organisationen weltweit genutzt werden, darunter Schulen, Behörden, Unternehmen und die MSPs, die sie verwalten. Alle Versionen von NG und MF wurden vor dem aktuellen Fix als potenziell betroffen eingestuft, und ein PaperCut-Server sitzt nahe an Authentifizierung, Kontingenten und Dokumenten-Workflows – ein nützlicher Ansatzpunkt, wenn er kompromittiert wird.

Was diese Woche zu tun ist

• Inventarisieren Sie jeden Application Server in Ihrer Umgebung, einschließlich Standort- und Sekundärservern, nicht nur die primäre Instanz.
• Aktualisieren Sie je nach Branch auf 26.0.5, 25.0.13 oder 24.1.10 – diese ersetzen die früheren Notfall-Patches Release 1-3 und enthalten zusätzliche Härtung.
• Beschränken Sie bis zum Upgrade das Web-Management-Interface des Application Servers auf vertrauenswürdige administrative Netze.
• Bei Verdacht auf Kompromittierung empfiehlt PaperCut, aus einem als sauber bekannten Backup neu aufzubauen, statt einem In-Place-Fix zu vertrauen.

Die Frist der CISA zum 14. September ist eine verbindliche Anforderung für zivile US-Bundesbehörden, keine universelle – doch angesichts bestätigter Ausnutzung und einer öffentlichen Exploit-Kette sollte jeder andere PaperCut-Betreiber sie als dasselbe operative Ziel behandeln.

Quellen: PaperCut-Sicherheitsbulletin, CISA-KEV-Warnung, Rapid7-Analyse.