CVE-2026-82078: kritische Schwachstelle in PaperCut NG/MF, aktiv ausgenutzt

CVE-2026-82078: kritische Schwachstelle in PaperCut NG/MF, aktiv ausgenutzt

Kurz gesagt

Es wurde eine kritische Schwachstelle (CVE-2026-82078) veröffentlicht, die PaperCut NG und PaperCut MF betrifft, mit einem CVSS-Wert von 9.4 von 10, eingestuft als "critical" [1]. Die Schwachstelle ist im Katalog der aktiv ausgenutzten Schwachstellen (KEV) der CISA aufgeführt [2], was bedeutet, dass bereits reale Angriffe dokumentiert sind, die sie ausnutzen. Wenn Ihr Unternehmen PaperCut zur Verwaltung des Druckbetriebs einsetzt, muss dies noch heute als hohe Priorität behandelt werden: Prüfen Sie, ob Sie exponierte Instanzen haben, und spielen Sie den Patch des Herstellers ein, sobald er verfügbar ist.

Was es ist und warum es wichtig ist

PaperCut NG und PaperCut MF sind weit verbreitete Lösungen für das Druckmanagement, die von Unternehmen, Behörden und Bildungseinrichtungen eingesetzt werden, um Kosten, Kontingente und die Überwachung von Netzwerkdruckern zu steuern. Das als CVE-2026-82078 identifizierte Problem liegt in den Dienstprogrammen für die Datenbankverbindung der Anwendung: Das System lädt dynamisch Java-Klassen, die Datenbanktreibern entsprechen, basierend auf einem konfigurierbaren Namen, ohne zu überprüfen, ob dieser Name zu einer Liste zulässiger Treiber gehört [1].

In der Praxis bedeutet dies, dass ein Angreifer, der bestimmte Konfigurationsparameter des Systems manipulieren kann, das Laden und die Ausführung beliebigen Java-Codes erzwingen kann, der sich bereits im Classpath der Anwendung befindet, mit denselben Privilegien wie der PaperCut-Serverprozess selbst [1]. Da solche Server innerhalb des Unternehmensnetzwerks häufig mit erhöhten Rechten laufen, kann eine erfolgreiche Ausnutzung zur vollständigen Kontrolle über diesen Rechner führen und von dort aus als Ausgangspunkt dienen, um sich lateral zu anderen internen Systemen zu bewegen.

Das Threat-Intelligence-Team von OCIRIA hat außerdem festgestellt, dass diese Schwachstelle mit einer weiteren (CVE-2026-81578) verkettet werden kann, um die Auswirkungen eines Angriffs zu maximieren, was ihre tatsächliche Kritikalität über den reinen CVSS-Wert hinaus erhöht.

Wen betrifft es

Es betrifft Organisationen jeder Größe, die PaperCut NG oder PaperCut MF zur Verwaltung ihrer Druckinfrastruktur einsetzen [1]. Dazu gehören Anwaltskanzleien, Gesundheitseinrichtungen, Kommunalverwaltungen, Bildungseinrichtungen und Unternehmen jeder Branche mit zentral verwalteten Druckerflotten. Das Risiko ist umso größer, je stärker der Verwaltungsserver exponiert ist, sei es direkt im Internet oder in weiten Segmenten des internen Netzwerks.

Wie Sie erkennen, ob Sie betroffen sind

Der erste Schritt ist eine ehrliche Bestandsaufnahme: Setzt Ihre Organisation PaperCut NG oder PaperCut MF ein, und in welcher Version? Prüfen Sie zusammen mit Ihrem IT-Dienstleister oder dem Administrator des Drucksystems, ob die Software aktiv und von außerhalb des lokalen Netzwerks aus zugänglich ist.

Es empfiehlt sich außerdem, die Protokolle (Logs) des PaperCut-Servers auf ungewöhnliche Aktivitäten im Zusammenhang mit dem Laden von Klassen oder unerwarteter Prozessausführung zu überprüfen, wie es die Analyse von OCIRIA zu dieser Schwachstelle empfiehlt. Generell ist es eine gute Praxis zu prüfen, welche Dienste und Ports Ihrer Organisation vom Internet aus sichtbar sind: Viele Ausnutzungen dieser Art von Schwachstellen beginnen genau bei Verwaltungssystemen, die ohne wirkliche Notwendigkeit öffentlich zugänglich geblieben sind.

Wie Sie sich schützen

1. Bestätigen Sie, ob Sie PaperCut NG/MF verwenden und in welcher Version, zusammen mit Ihrem Anbieter oder IT-Team.

2. Spielen Sie das Sicherheitsupdate des Herstellers ein, sobald es für Ihre Version verfügbar ist; da die Schwachstelle laut CISA bereits aktiv ausgenutzt wird [2], sollte das Patchen nicht verzögert werden.

3. Beschränken Sie den Zugriff auf den PaperCut-Verwaltungsserver: Er sollte ohne zusätzliche Kontrollen (VPN, IP-Whitelist, verstärkte Authentifizierung) nicht aus dem Internet erreichbar sein.

4. Überprüfen Sie die Logs des Servers auf Hinweise auf verdächtige Codeausführung oder nicht autorisierte Konfigurationsänderungen, insbesondere im Zusammenhang mit Datenbankverbindungsparametern.

5. Priorisieren Sie diese Schwachstelle zusammen mit CVE-2026-81578, da das OCIRIA-Team beobachtet hat, dass sie verkettet werden können, um eine größere Wirkung zu erzielen.

6. Überprüfen Sie Ihre exponierte Angriffsfläche regelmäßig, nicht nur anlässlich einer einzelnen Warnmeldung: Viele Sicherheitsvorfälle ereignen sich bei Systemen, von denen die Organisation selbst nicht wusste, dass sie von außen sichtbar waren.

Häufig gestellte Fragen

Ist es dringend?

Ja. Der CVSS-Wert beträgt 9.4, was als kritisch gilt [1], und die Schwachstelle ist im KEV-Katalog der CISA für aktiv ausgenutzte Schwachstellen aufgeführt [2], was darauf hinweist, dass bereits dokumentierte reale Ausnutzung existiert.

Muss der Server dem Internet ausgesetzt sein, damit ich gefährdet bin?

Die direkte Internetexposition erhöht das Risiko, aber jeder Angreifer, der Zugang zum internen Netzwerk erlangt, in dem sich der PaperCut-Server befindet, oder der Konfigurationsparameter des Systems manipulieren kann, könnte gemäß der technischen Beschreibung der Schwachstelle versuchen, sie auszunutzen [1].

Reicht es aus, diese Schwachstelle zu patchen?

Das ist der wichtigste Schritt, aber OCIRIA empfiehlt, sie zusammen mit CVE-2026-81578 zu behandeln, da beide verkettet werden können, um eine größere Wirkung zu erzielen. Eine Überprüfung der allgemeinen Exposition der Druckinfrastruktur wird ebenfalls empfohlen.

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-82078
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json