Was die CISA gerade hinzugefügt hat, und warum es schon zu spät war
Die CISA hat am 31. August 2026 zwei PaperCut-Schwachstellen in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen und damit aktive Ausnutzung bestätigt.
| Kennzahl | CVE-2026-81578 | CVE-2026-82078 |
|---|---|---|
| CVSS-4.0-Wert | 8.8 (Hoch) | 9.4 (Kritisch) |
| Art der Schwachstelle | Fehlende Authentifizierung für eine kritische Funktion | Unsichere Reflection (unsicheres dynamisches Laden von Klassen) |
| Was der Angreifer erreicht | Nicht authentifizierter Zugriff zum Ändern der Systemkonfiguration | Beliebige Java-Code-Ausführung auf dem Server |
CVE-2026-81578 erlaubt einem nicht authentifizierten Angreifer den Zugriff auf die Web-Verwaltungsoberfläche von PaperCut und das Ändern der Systemkonfiguration, und CVE-2026-82078 verwandelt diesen Zugriff in die Ausführung beliebigen Java-Codes auf dem Server.
Beide Lücken wurden bereits als Zero-Days ausgenutzt, bevor PaperCut überhaupt einen Fix veröffentlichte, sodass eine Organisation mit normalem monatlichem Patch-Zyklus schon kompromittiert war, als der Fix erschien.
Wie die Angriffskette tatsächlich funktioniert
Ein Angreifer beginnt mit CVE-2026-81578, der Lücke bei der fehlenden Authentifizierung, um die Konfigurationsoberfläche des PaperCut Application Servers ohne Zugangsdaten oder Nutzerinteraktion zu erreichen.
Von dort aus löst der Angreifer CVE-2026-82078 aus, einen Fehler beim unsicheren dynamischen Laden von Klassen in den Datenbankverbindungs-Utilities, der beliebigen, vom Angreifer gewählten Java-Code lädt und ausführt.
Das Ergebnis ist vollständige Remote-Code-Ausführung auf dem Druckserver, und dafür braucht es kein gestohlenes Passwort, keine Phishing-Mail und keinen Mitarbeiter, der irgendetwas anklickt.
Warum eine Bundesfrist Ihre tatsächliche Gefährdung unterschätzt
Binding Operational Directive 26-04 legt den 14. September 2026 als Datum fest, bis zu dem US-Bundesbehörden diese beiden CVEs behoben haben müssen.
Diese Frist ist ein Verwaltungsartefakt der US-Bundesbeschaffung; sie sagt nichts darüber aus, wann die Gefahr für alle anderen begann, die dieselbe Software betreiben.
Die relevante Ausnutzung begann Ende August, Tage nach PaperCuts eigenem Bulletin und Wochen vor jeder behördlichen Frist, und sie begann in Frankfurt, Rotterdam und Mailand genauso wie in Washington.
Der zweite Patch, über den niemand spricht
PaperCut veröffentlichte am 28. August 2026 seinen ersten Notfall-Patch für NG/MF Version 25 und 26, vier Tage bevor die KEV-Listung erfolgte.
Innerhalb weniger Tage folgte der Hersteller mit einem Emergency Patch Release 2 für dieselben Zweige v25 und v26, der zusätzliche Härtung nachlieferte, die der erste Patch nicht enthielt, plus einem eigenen Release 2 für die ältere Version 24.
Eine Organisation, die beim ersten Patch stehen geblieben ist, hat einen Eintrittsweg geschlossen und die zusätzliche Härtung aus Release 2 nicht eingespielt, und diese Lücke zählt angesichts dessen, wie schnell der Hersteller selbst seinen eigenen Fix überarbeiten musste.
Was diese Woche zu tun ist
Jede Organisation, die PaperCut NG oder MF betreibt, sollte ihre installierte Version noch heute gegen PaperCuts Sicherheitsbulletin prüfen, nicht erst beim nächsten geplanten Wartungsfenster.
Bestätigen Sie, dass der Server auf dem gehärteten Release-2-Build für v25/v26 oder dem Release-2-Build für v24 läuft, denn der ursprüngliche Patch vom 28. August allein ist nicht der fertige Fix.
Unter NIS2 tragen viele mittelständische EU-Unternehmen inzwischen eigene Sorgfalts- und Meldepflichten, und ein Einbruch über eine ungepatchte, in der KEV gelistete Lücke lässt sich hinterher nur schwer als angemessene Sorgfalt verteidigen. Nationale Behörden in der Region, darunter Deutschlands BSI, raten Betreibern, die Dringlichkeit am Herstellerbulletin selbst zu bemessen.
Servola Journal
Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.
Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.
Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like, oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns weitermachen lässt.
Weiterlesen: Gunra-Ransomware Nutzt Fortinet-Lücken von 2025 | Wer den Angreifer löscht, löscht auch die Logik
