PaperCut hat am 28. August 2026 ein zweites Notfall-Update für NG/MF 24 bis 26 veröffentlicht, weil die Forscher von watchTowr und Huntress den ersten Fix für die ausgenutzten Lücken CVE-2026-81578 und CVE-2026-82078 umgehen konnten. Verkettet erlauben sie Codeausführung ohne Anmeldung. Huntress beobachtete Angriffe in zwei Kundenumgebungen. Version 23 und älter muss auf ein aktuelles Release wechseln; bis zum Update gilt Zugriffsbeschränkung.
Zwei ausgenutzte PaperCut-Lücken blieben nach dem ersten Fix offen: Forscher umgingen die Korrektur. Für NG und MF liegt nun eine zweite Fassung vor.
Das Wichtigste in Kürze
- Der erste Fix reicht nicht aus. Die Nachbesserung gilt für PaperCut NG und MF in den Versionen 24, 25 und 26 auf Windows, Linux und macOS.
- Zwei verkettete Lücken erlauben fremden Code ohne Anmeldung. CVE-2026-81578 ist ein Authentifizierungs-Bypass, CVE-2026-82078 ein unsicheres Laden von Klassen.
- Die Lücken werden bereits ausgenutzt. Huntress beobachtete Angriffe in zwei Kundenumgebungen.
- Version 23 und älter braucht ein Upgrade. Für sie gibt es keinen Notfall-Patch, nur den Wechsel auf ein aktuelles Release.
Was bei PaperCut passiert ist
PaperCut hat am 27. August 2026 eine dringende Sicherheitsmitteilung veröffentlicht und einen ersten Notfall-Patch bereitgestellt. Einen Tag später folgte die Nachbesserung, weil Forscher den ersten Fix umgehen konnten. BleepingComputer berichtete am 28. August 2026 darüber.
Dabei hat die Firma watchTowr die Lücken vollständig nachgestellt, mehrere Umgehungen des Patches gefunden und eine weitere Lücke bei der Anmeldung entdeckt. Huntress sah Ausnutzung in zwei Kundenumgebungen und stellte die gesamte Kette nach.
Die beiden Lücken
| Kennung | Art | Auswirkung |
|---|---|---|
| CVE-2026-81578 | Authentifizierungs-Bypass, CVSS 8,8 | Anfragen ohne Anmeldung lösen Verwaltungsaktionen aus, bevor die Zugriffsprüfung endet |
| CVE-2026-82078 | Unsicheres dynamisches Laden von Klassen, CVSS 9,4 | Nicht geprüfte Datenbanktreiber ermöglichen die Ausführung beliebigen Java-Bytecodes |
Zusammen ergeben sie eine Ausführung fremden Codes ohne Anmeldung. Laut Huntress nutzten die Angreifer hexadezimal kodierte Java-Klassendateien, um Erkundungsbefehle über den Prozess pc-app.exe auszuführen. BleepingComputer spricht von begrenzten, gezielten Angriffen.
Was jetzt gilt
Deshalb empfiehlt PaperCut, den Zugriff auf die Weboberfläche per Firewall oder Netzwerkregeln auf vertrauenswürdige Adressen zu beschränken. Das gilt besonders, wenn der Server aus dem Internet erreichbar ist. Daneben helfen zwei Prüfungen:
- Suche auf dem Server nach auffälliger Aktivität des Prozesses
pc-app.exe. - Prüfe die Datei
server.logauf die Fehlermeldungen, die der Bericht von BleepingComputer als Hinweis nennt.
Bei Version 23 und älter bleibt nur der Wechsel auf ein aktuelles Release, einen Notfall-Patch gibt es dort nicht.
Was Admins jetzt tun
- Stelle fest, welche PaperCut-Version läuft und ob der Server aus dem Internet erreichbar ist.
- Beschränke den Zugriff auf die Weboberfläche sofort auf vertrauenswürdige Adressen.
- Spiele die Nachbesserung für Version 24, 25 oder 26 ein. Ältere Versionen aktualisierst du auf ein aktuelles Release.
- Suche vor und nach dem Update nach Hinweisen auf eine Kompromittierung und behandle Funde als Sicherheitsvorfall.
Dass Verwaltungsprodukte mit Internetzugang ein Ziel sind, zeigt auch die ausgenutzte Lücke in N-able N-central.
Fazit
Der erste Patch reichte nicht, deshalb zählt jetzt die Nachbesserung. Beschränke den Zugriff, bis es eingespielt ist, und suche nach Spuren einer Ausnutzung. Wer noch Version 23 oder älter betreibt, muss ohnehin wechseln.
Quellen: BleepingComputer, PaperCut Security Bulletin. Foto: andreas160578 / Pixabay. Stand: 28. August 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.