PaperCut warnte vor der aktiven Ausnutzung einer nicht offengelegten Sicherheitslücke in allen Versionen der Druckmanagementsoftware PaperCut NG und PaperCut MF und bestätigte, Meldungen über Vorfälle bei Kunden erhalten zu haben. Das Unternehmen forderte Organisationen, die aus dem Internet erreichbare PaperCut Application Server betreiben, auf, den Zugriff auf die Webschnittstellen unverzüglich einzuschränken, bevor Angreifer sie ausnutzen können.
PaperCut veröffentlichte am 27. August 2026 eine dringende Sicherheitsmitteilung. Darin erklärte das Unternehmen, dass das Sicherheitsteam die aktive Ausnutzung untersucht und die Schwachstelle anhand von Informationen reproduziert hat, die eine Universität bereitgestellt hatte. Das Unternehmen hat bislang weder Einzelheiten zur Schwachstelle noch zu ihrer Ausnutzungsmethode offengelegt. Außerdem wurde nicht angegeben, welche Akteure hinter den Angriffen stehen oder was die Angreifer nach dem Eindringen in die Server tun.
Sofortmaßnahme für exponierte Server
PaperCut veröffentlichte einen Notfall-Patch für Kunden mit öffentlich erreichbaren NG- oder MF-Servern, die keine anderen Maßnahmen zur Risikominderung ergreifen können. Neben der Installation des Patches empfiehlt das Unternehmen, Firewall-Regeln oder Netzwerkzugriffskontrollen zu verwenden, um den Zugriff auf die Webschnittstellen ausschließlich auf vertrauenswürdige IP-Adressen zu beschränken.
Diese Empfehlungen gelten für Server, die aus dem Internet erreichbar sind – genau auf diesen Punkt konzentrierte sich das Unternehmen in seiner dringenden Warnung. Einzelheiten zu den korrigierten Versionen oder zur Art der Softwareänderung wurden in dem verfügbaren Material nicht genannt. Daher lässt sich nicht bestimmen, in welchem Umfang nach der Installation des Patches zusätzliche Schritte erforderlich sind.
Mögliche Hinweise auf eine Kompromittierung
PaperCut teilte Kompromittierungsindikatoren, die Administratoren bei einer ersten Überprüfung verwenden können, wies jedoch darauf hin, dass das Fehlen dieser Indikatoren nicht die Sicherheit des Servers beweist. Dazu gehören:
- Verdächtige Aktivitäten im Zusammenhang mit dem legitimen Prozess pc-app.exe.
- Änderungen an der Datei server.log oder deren Löschung beziehungsweise Verlust.
- Das Auftreten des Fehlers ERROR No suitable driver found for jdbc:no:x.
- Das Auftreten des Fehlers ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST.
Warum ist diese Warnung wichtig?
Die Bedeutung der Entwicklung ergibt sich aus dem Zusammentreffen dreier Faktoren: Die Schwachstelle wird tatsächlich ausgenutzt, sie betrifft laut PaperCut alle NG- und MF-Versionen, und das Unternehmen bestätigte Vorfälle bei Kunden, bevor vollständige technische Einzelheiten veröffentlicht wurden. Dadurch werden die Zugriffsbeschränkung für die Schnittstelle und die Überprüfung der Protokolle zu dringenden praktischen Maßnahmen und nicht nur zu vorsorglichen Empfehlungen.
PaperCut hat bereits zuvor die Aufmerksamkeit von Angreifern auf sich gezogen, nachdem Schwachstellen in seinen Produkten offengelegt worden waren. Im April 2023 wurde die kritische Schwachstelle CVE-2023-27350 ausgenutzt, um die Authentifizierung zu umgehen und auf anfälligen Servern aus der Ferne Code auszuführen. Microsoft brachte einige dieser Angriffe mit der Clop-Ransomware-Operation in Verbindung, beobachtete außerdem Vorgänge, die zu LockBit-Angriffen führten, und berichtete, dass auch vom Iran unterstützte Gruppen die Schwachstelle ausgenutzt hatten. Im Mai 2023 warnten CISA und FBI vor der Ausnutzung durch die Bl00dy-Ransomware-Bande gegen den Bildungssektor.
Diese früheren Vorfälle belegen nicht, dass dieselben Akteure hinter der aktuellen Kampagne stehen. Sie verdeutlichen jedoch, warum PaperCut sie als Vorfall mit hoher Priorität behandelt. Das Unternehmen erklärt, dass es seine Mitteilung im weiteren Verlauf der Untersuchung um Kompromittierungsindikatoren und zusätzliche Hinweise zur Behebung aktualisieren wird. Unterdessen ist weiterhin unbekannt, auf welche Daten die Angreifer möglicherweise zugegriffen haben.