PaperCut-Sicherheitslücke August 2026: Was Unternehmen jetzt tun müssen

Wer in seinem Unternehmen Druckkosten verwaltet, Kopien abrechnet oder Ausdrucke per Chipkarte freigibt, hat mit hoher Wahrscheinlichkeit schon einmal von PaperCut gehört – auch wenn IT-Verantwortliche außerhalb der Druckerverwaltung selten mit dem Namen in Berührung kommen. Genau das macht die Ereignisse der letzten Tage relevant: Am 27. August 2026 hat der Hersteller eine dringende Sicherheitswarnung veröffentlicht, die zwei Schwachstellen betrifft, die sich laut einer Einschätzung von eSentire (öffnet in neuem Tab) zu einer Codeausführung ohne jede Authentifizierung verketten lassen – und die bereits aktiv angegriffen werden.

Was PaperCut gemeldet hat

Laut der Sicherheitsmitteilung von PaperCut (öffnet in neuem Tab) vom 27. August 2026 sind zwei Schwachstellen betroffen, die beide in PaperCut NG und PaperCut MF stecken – den beiden Varianten der verbreiteten Druckmanagement-Software:

• CVE-2026-82078 – eine unsichere dynamische Klassenladung in den Datenbank-Verbindungsdienstprogrammen. Laut dem CVE-Eintrag (öffnet in neuem Tab) instanziiert die Anwendung Datenbanktreiber-Klassen anhand konfigurierbarer Treibernamen, ohne diese gegen eine Positivliste zu prüfen. Kann ein Angreifer Konfigurationsparameter manipulieren, lässt sich dadurch beliebiger Java-Bytecode im Sicherheitskontext des PaperCut-Serverprozesses ausführen. Der CVSS-4.0-Wert liegt bei 9,4 (kritisch).
• CVE-2026-81578 – eine fehlerhafte Zugriffskontrolle in der Weboberfläche zur Verwaltung. Laut PaperCut lösen bestimmte administrative Backend-Aktionen aus, bevor die Prüfung der Zugriffsberechtigung abgeschlossen ist. Ein nicht authentifizierter Angreifer kann dadurch aus der Ferne bestimmte Systemkonfigurationen verändern. CVSS-Wert: 8,8 (hoch).

Für sich genommen sind beide Lücken bereits ernst. Entscheidend ist laut eSentire (öffnet in neuem Tab) aber, dass sie sich verketten lassen: Über die Zugriffskontrolllücke lässt sich eine Konfiguration manipulieren, die dann über die Datenbanktreiber-Lücke zur Codeausführung führt – macht ein Angreifer ohne jeden Zugangsdaten aus zwei Einzelschwachstellen einen vollständigen Weg zur Serverübernahme.

Zum Zeitpunkt der Veröffentlichung gab es laut eSentire noch keinen öffentlich verfügbaren Proof-of-Concept-Exploit. Das ist aber keine Entwarnung: Huntress hat nach eigenen Angaben bereits einen funktionierenden Exploit für die komplette Angriffskette erstellt. eSentire schätzt deshalb ein, dass auch andere Sicherheitsforscher oder Angreifer in absehbarer Zeit einen solchen Exploit veröffentlichen dürften – mit dem Risiko einer breiteren, automatisierten Ausnutzung, sobald das der Fall ist. Wer nicht patcht, weil noch kein öffentlicher Exploit kursiert, verlässt sich auf ein Zeitfenster, das sich laut dieser Einschätzung absehbar schließt.

Die Angriffe laufen bereits

Das ist kein theoretisches Risiko. Laut Help Net Security (öffnet in neuem Tab) hat der Sicherheitsdienstleister Huntress in den Logdateien betroffener Kunden Base64-kodierte Befehle gefunden, die zu whoami und ver dekodierten – klassische Aufklärungsbefehle, mit denen ein Angreifer nach erfolgreichem Zugriff zunächst Benutzerkonto und Betriebssystem des Zielsystems ermittelt. Huntress will diese Ausnutzung nach eigenen Angaben laut demselben Bericht bereits am 26. August beobachtet haben – also einen Tag vor der offiziellen Warnung. Zusätzlich hat Huntress laut Help Net Security eine funktionierende Angriffskette gegen eine unveränderte Installation von PaperCut NG 25.0.11.75758 nachgestellt und damit die theoretische Verkettbarkeit praktisch bestätigt.

Auch heise online (öffnet in neuem Tab) ordnet den Vorfall als wiederkehrendes Muster ein: PaperCut NG/MF sei bereits im April 2026 Ziel einer Angriffswelle gewesen, bei der eine andere Sicherheitslücke zur Umgehung der Authentifizierung genutzt wurde. Wer die Software betreibt, sollte also nicht von einem einmaligen Ausreißer ausgehen, sondern von einer Software, die wiederholt zum Ziel wird – vermutlich, weil sie in vielen Organisationen mit Druckaufkommen im Einsatz ist, häufig mit Verbindung zu internen Verzeichnisdiensten und manchmal mit einer aus der Ferne erreichbaren Verwaltungsoberfläche.

Wer betroffen ist und welche Version patcht

Laut PaperCut sind alle Versionen von PaperCut NG und PaperCut MF vor 24.1.10, 25.0.13 und 26.0.5 betroffen. Der Hersteller hat den Patch-Prozess in zwei Schritten durchgeführt:

1. Ein erster Notfall-Patch für die Versionslinien 25 und 26 wurde am 28. August 2026 veröffentlicht.
2. Nachdem laut PaperCut die interne Sicherheitsabteilung gemeinsam mit den externen Forschern von Huntress und watchTowr weiter an dem Fall gearbeitet hatte, folgte noch am selben Tag ein „Emergency Patch Release 2" mit zusätzlichen Härtungsmaßnahmen – zunächst für die Linien 25 und 26, am Abend des 28. August dann auch für Version 24.

PaperCut empfiehlt ausdrücklich, Release 2 zu installieren, auch wenn bereits der erste Notfall-Patch eingespielt wurde.

Ein Nebeneffekt des Patches, den Sie kennen sollten

Wer das Update einspielt, sollte laut der PaperCut-Mitteilung (öffnet in neuem Tab) mit einem bekannten Folgeproblem rechnen: Seit dem 29. August 2026 gehen beim Hersteller Meldungen ein, dass nach dem Patch die Kartennummer-Abfrage aus externen Datenbanken sowie SAML-Anmeldungen nicht mehr wie erwartet funktionieren. Für Kunden, die SQL Server für externe Kartenabfragen mit dem älteren Sourceforge-jTDS-Treiber nutzen, rät PaperCut als ersten Schritt zum Wechsel auf den aktuellen Microsoft-SQL-JDBC-Treiber. Wer also Chipkarten- oder Ausweisabfragen an eine externe Datenbank angebunden hat, sollte das nach dem Patch gezielt testen, statt sich auf einen reibungslosen Übergang zu verlassen.

Was jetzt zu tun ist

1. Erreichbarkeit prüfen. Ist Ihr PaperCut Application Server aus dem öffentlichen Internet erreichbar? Wenn ja, empfiehlt PaperCut, den Zugriff auf die Weboberfläche sofort per Firewall-Regel auf vertrauenswürdige, in der Regel interne IP-Adressen zu beschränken – unabhängig davon, ob bereits gepatcht wurde. Das ist laut PaperCut die wirksamste Einzelmaßnahme, wenn ein sofortiges Update nicht möglich ist.
2. Patchen. Version prüfen und auf mindestens 24.1.10, 25.0.13 oder 26.0.5 aktualisieren – und dabei explizit das „Emergency Patch Release 2" installieren, nicht nur den ersten Notfall-Patch. Laut watchTowr Labs, zitiert in der Einschätzung von eSentire, war der erste Patch nicht vollständig ausreichend und ließ sich umgehen.
3. Nach Kompromittierung suchen. Laut PaperCut und Help Net Security deuten fehlende, unerwartet gekürzte oder gelöschte server.log-Dateien sowie die Log-Einträge ERROR No suitable driver found for jdbc:no:x und ERROR DatabaseUtils – Database error looking up cardID: VALUES CAST auf einen möglichen Angriff hin. PaperCut weist jedoch ausdrücklich darauf hin, dass ein System auch ohne diese Indikatoren kompromittiert sein kann.
4. Externe Kartenabfragen und SAML nach dem Patch testen, wegen des oben beschriebenen Nebeneffekts.
5. Beweise sichern, falls der Server öffentlich erreichbar war, bevor Sie patchen oder neu starten – vollständige Logs, aktuelle Konfiguration und Prozessaktivität aufbewahren, für den Fall, dass eine forensische Untersuchung nötig wird.

Warum das über PaperCut hinausgeht

Der Fall zeigt ein Muster, das nicht auf ein einzelnes Produkt beschränkt ist: Software, die im Hintergrund läuft, selten im Fokus der IT-Sicherheit steht und trotzdem mit Verwaltungsrechten und Netzwerkzugriff ausgestattet ist, wird für Angreifer attraktiv – gerade weil sie seltener geprüft und aktualisiert wird als die zentrale Serverinfrastruktur. Wer im eigenen Haus Systeme betreibt, die „einfach funktionieren" und deshalb kaum noch beachtet werden – Druckmanagement, Zeiterfassung, Scan-to-Mail-Gateways –, sollte diese in den regulären Patch-Prozess aufnehmen, statt sie erst dann zu prüfen, wenn eine Sicherheitswarnung durch die Fachpresse geht. Ein Update-Prozess, der auch die unauffälligen Randsysteme erfasst, ist am Ende günstiger als die forensische Aufarbeitung eines erfolgreichen Angriffs.

Ein zweiter Punkt betrifft die Reihenfolge der eigenen Bewertung. Der CVSS-Wert einer Einzellücke sagt wenig über das reale Risiko aus, wenn Angreifer mehrere Schwachstellen kombinieren – die Zugriffskontrolllücke allein wäre schon ohne die zweite Lücke ärgerlich, aber die Verkettung zur vollständigen Codeausführung macht aus zwei Einzelfunden ein Notfallszenario. Wer Schwachstellenmeldungen nach Einzel-CVSS-Wert priorisiert, ohne nach möglichen Kombinationen zu fragen, unterschätzt systematisch genau die Fälle, die in der Praxis am schwersten wiegen.