LONDON (IT BOLTWISE) – Angreifer sollen zwei zuvor gepatchte PaperCut-Schwachstellen miteinander kombinieren, um bei betroffenen Instanzen ohne Authentifizierung Code auszuführen. Im Fokus stehen ein unsicheres dynamisches Laden von Java-Klassen sowie eine fehlerhafte Zugriffskontrolle im Web-Management. Hersteller und Sicherheitsforscher berichten von einem Notfall-Update mit zusätzlicher Härtung, Details zum realen Missbrauch aber noch nicht abschließend. Für Betreiber gilt: öffentliche Exposition sofort reduzieren und Patches zeitnah einspielen.
PaperCut NG und PaperCut MF sind wieder ins Zentrum von Angriffen gerückt, diesmal mit einem Mechanismus, der weniger nach „einzelner Schwachstelle“ aussieht als nach einem präzisen Kettenangriff. Nach Angaben von Huntress ermöglicht eine speziell präparierte, aber nicht authentifizierte Anfrage, die serverseitige Autorisierungslogik zu umgehen, indem eine gerenderte Antwortseite als vertrauenswürdige Referenz für Rechte genutzt wird. Dadurch kann der Angreifer Änderungen an der Serverkonfiguration anstoßen und in der Folge Code innerhalb des Prozesskontexts ausführen. Das Schadbild hängt damit eng mit der Art zusammen, wie Webpfade, Autorisierungsprüfungen und nachgelagerte Komponenten im Application-Server zusammenspielen.
Technisch beschreibt die Analyse von Huntress ein zweistufiges Problem: In unzureichend gepatchten Versionen könne eine Anfrage so konstruiert sein, dass sie zwei Seitenbezüge enthält – eine Seite, die letztlich für die Antwort gerendert wird, und eine zweite, die die eigentliche Komponente oder Aktion „besitzt“, die ausgeführt werden soll. Der zentrale Punkt ist dabei, dass die Autorisierungsprüfung auf Basis der gerenderten Seite Vertrauen aufbaut, während die eigentlich benötigten Berechtigungen für die dahinterliegende Komponente nicht sauber geprüft werden. Diese Logikfalle kann laut Huntress dazu führen, dass nicht authentifizierte Requests auf sensitive Endpunkte zugreifen und Aktionen auslösen, die für einen Angreifer sonst gesperrt wären.
PaperCut hat inzwischen zwei konkrete Sicherheitslücken öffentlich gemacht: CVE-2026-82078 mit einem CVSS-Score von 9,4 adressiert eine unsichere dynamische Klassenladung in den Datenbank-Connection-Utilities von PaperCut MF und NG. Die Anwendung instanziiert dabei Datenbanktreiberklassen anhand konfigurierbarer Treibernamen, validiert die Auswahl aber nicht gegen eine erlaubte Liste (Allowlist) genehmigter Treiber. CVE-2026-81578 (CVSS 8,8) betrifft eine fehlerhafte Zugriffskontrolle in der Web-Management-Oberfläche: Unter bestimmten Bedingungen sollen nicht authentifizierte Remote-Requests auf administrative Funktionen Backend-Aktionen anstoßen können, bevor die Zugriffskontrolle vollständig abgeschlossen ist. Die Kombination beider Schwachstellen ist der Kern der aktuellen Meldung, denn ein Angreifer kann so zunächst den Autorisierungsfehler ausnutzen und anschließend über den Weg der unsicheren Klasseninstanziierung bzw. Konfigurationsänderung das Ausführen beliebiger Java-Nutzlasten anbahnen.
Der zeitliche Ablauf wirkt dabei besonders relevant: Laut Quelle veröffentlichte PaperCut eine zweite Notfallkorrektur, in der „zusätzliche Härtung“ enthalten sein soll. Über die konkrete Natur des Missbrauchs, also welche Schritte Angreifer im echten Betrieb nach dem Einbruch durchlaufen, teilt PaperCut bislang keine belastbaren Details mit. Umso mehr greifen hier Beobachtungen aus dem Sicherheitsumfeld: Eine Sicherheitsfirma, die auch im Kontext von Exposure-Management aktiv ist, beschreibt, dass Angreifer beide Schwachstellen zusammenketteten, um Authentifizierung zu umgehen und Remote Code Execution auf betroffenen Instanzen zu erreichen. Die gleiche Quelle nennt darüber hinaus mehrere Patch-Umgehungen sowie eine zusätzliche Authentifizierungsumgehung, die mutmaßlich erst mit dem zweiten Notfall-Update geschlossen wurden.
Huntress berichtet zudem über zeitlich begrenzte Ausnutzung in zwei Kundenumgebungen. Dabei sollen die Angreifer nach dem primären Zugriff Befehle in Base64-kodierter Form ausgeführt haben, um Nutzer- und Betriebssysteminformationen über einen verketteten Befehl wie „whoami & ver.“ zu ermitteln. Ebenfalls Teil der Post-Exploitation ist laut Beobachtung eine Java.class-Datei, die nicht an eine konkrete Betriebssystemvariante gebunden ist: Sie soll unter Linux wie unter Windows Kommandos absetzen können, um das System zu fingerprinten und Verzeichnislisten der Dateien auf dem Zielrechner zu erstellen. Die ausgegebenen Daten werden dabei in einer Datei namens „Udydn.out“ unterhalb von „/data/content/“ relativ zum Installationspfad abgelegt, danach jedoch wieder gelöscht; zusätzlich sollen das serverseitige „server.log“ sowie „/data/internal/derby.log“ entfernt werden. In einem weiteren, am 27. August 2026 verzeichneten Vorfall wird außerdem eine Variante der.class-Datei beschrieben, die um das Erfassen laufender Prozesse erweitert ist, etwa über „whoami & ver & tasklist“.
Aus Enterprise-Sicht erklärt dieser Ablauf auch, warum PaperCut als Plattformziel so schnell wieder „attraktiv“ wird: Die Applikation steht häufig an der Schnittstelle zwischen internen Druck-/Dokumentprozessen und extern erreichbaren Verwaltungsdiensten. Genau hier entsteht eine zweifache Angriffsfläche – erst als Internet-facing Pivot in das Unternehmensnetz, dann als potenzieller Datenknoten, weil gedruckte Dokumente gespeichert und anschließend exfiltriert werden können, falls ein Angreifer sich Zugriff auf sensible Pfade verschafft. Jake Knott, Leiter Threat Intelligence bei watchTowr, formuliert es in einer Erklärung, die der Meldung beigefügt war, entsprechend deutlich: „PaperCut is a prime target for attackers of every motivation, as not only is it an internet-facing pivot into a corporate environment, but it is a sensitive information treasure trove if printed documents can be stored and exfiltrated.“
Für Betreiber ergibt sich daraus eine klare Priorisierung, die über „Patch installieren“ hinausgeht. Die Quelle empfiehlt, öffentliche Exponierung umgehend zu entfernen und die Updates so schnell wie möglich einzuspielen, weil insbesondere fehlerhafte Zugriffskontrollen und unsichere Klasseninstanziierung direkt zu RCE führen können. Zusätzlich wird geraten, den Webzugriff auf den PaperCut Application Server auf vertrauenswürdige IP-Adressen zu beschränken oder die Oberfläche hinter einem VPN bzw. einem kontrollierten administrativen Pfad zu platzieren. Auch Hunting-Ansätze werden konkret: In Logdateien solle man nach Hinweisen suchen, beispielsweise nach Fehlern wie „Database error looking up cardID: VALUES CAST“, die auf fehlerhafte oder manipulierte Anfragepfade hindeuten können.
In Summe zeigt die Meldung, wie ernst Kettenfehler werden können, wenn eine zunächst „nur“ fehlerhafte Autorisierung in eine nachgelagerte Komponente übergreift, die ihrerseits eine kritische Sicherheitsgarantie (Allowlist, Validierung) verletzt. Für IT-Teams heißt das, Sicherheitsstrategie nicht als isolierte CVE-Abfolge zu betrachten, sondern als Systemverhalten aus Web-Workflow, Autorisierung, Konfiguration und dynamischem Codepfad. Wer PaperCut betreibt, sollte neben dem eigentlichen Patch-Zyklus auch die Netzwerkzugriffswege, die Logüberwachung und die Incident-Ready-Hunting-Playbooks zeitnah prüfen, weil genau diese Lücke zwischen „noch erreichbar“ und „bereinigt“ häufig den Unterschied macht, ob Angreifer nur testen oder nachhaltig übernehmen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PaperCut: Angreifer koppeln zwei CVEs für RCE ohne Authentifizierung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PaperCut: Angreifer koppeln zwei CVEs für RCE ohne Authentifizierung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PaperCut: Angreifer koppeln zwei CVEs für RCE ohne Authentifizierung« bei Google Deutschland suchen, bei Bing oder Google News!