Zwei kritische Zero-Day-Schwachstellen in den Druckmanagement-Systemen PaperCut NG und PaperCut MF – CVE-2026-81578 (Umgehung der Authentifizierung, CVSS 8.8) und CVE-2026-82078 (Remote Code Execution, CVSS 9.4) – werden in einer groß angelegten Kampagne aktiv ausgenutzt. Nach Angaben von Blackpoint Cyber und GreyNoise setzte ein mutmaßlich russischsprachiger Angreifer Hunderte AI-Agenten ein, um den gesamten Angriffszyklus – von der Entwicklung der Exploits bis zur Kompromittierung – zu automatisieren und traf dabei mindestens 440 PaperCut-Instanzen in 395 Organisationen in 48 Ländern. Beide Schwachstellen wurden am 31. August 2026 in den CISA-KEV-Katalog aufgenommen, mit einer Frist zur Behebung bis 14. September. Zuvor hatten wir bereits über diese Schwachstellen berichtet – im Zusammenhang mit dem Diebstahl von Zugangsdaten; inzwischen hat sich das Bedrohungsbild erheblich erweitert.
Technischer Kern der Schwachstellen
Die Angriffskette kombiniert zwei Fehler, die für sich genommen eine ernste, aber begrenzte Bedrohung darstellen, zusammen jedoch Remote Code Execution vor Authentifizierung ermöglichen.
CVE-2026-81578 ist ein Fehler in der Zugriffskontrolle der PaperCut-Weboberfläche. Nach Angaben von Huntress kann unter bestimmten Bedingungen eine nicht authentifizierte Anfrage dazu führen, dass administrative Aktionen auf dem Server ausgeführt werden, noch bevor die Berechtigungsprüfung abgeschlossen ist. Dadurch kann der Angreifer die Systemkonfiguration ohne jegliche Autorisierung ändern.
CVE-2026-82078 betrifft eine unsichere dynamische Klassenladung im Mechanismus zur Anbindung an Datenbanken. PaperCut lädt Treiberklassen, deren Namen in der Konfiguration festgelegt werden, prüft sie jedoch nicht gegen eine Allowlist. Erlangt ein Angreifer bereits die Möglichkeit, die Konfiguration zu ändern (über die erste Schwachstelle), kann er beliebigen Java-Bytecode mit den Rechten des PaperCut-Prozesses ausführen.
Huntress bestätigte, dass sich die vollständige Kette reproduzieren ließ: Die Remote Code Execution vor Authentifizierung führte zum Start des Prozesses charmap.exe mit SYSTEM-Rechten im Kontext des Prozesses pc-app.exe – des Serverprozesses des PaperCut Application Server.
Ausmaß der Kampagne und Rolle von AI
Laut den Berichten von Blackpoint Cyber und GreyNoise stammt die Aktivität von der IP-Adresse 45.142.193[.]132, die GreyNoise seit Anfang Juli 2026 im Zusammenhang mit Scans von Systemen von Palo Alto, Ubiquiti, Citrix, SonicWall und Proxmox VE beobachtet.
Ein zentrales Merkmal der Kampagne ist der Einsatz von Hunderten AI-Agenten auf Basis von OpenAI Codex und dem Modell DeepSeek in Kombination mit bekannten offensiven Tools wie Mimikatz, SharpHound, Certipy, Rubeus und Impacket. Nach Angaben von GreyNoise legte der Angreifer den Weg von einem leeren Workspace bis zur ersten Remote Code Execution bei einem realen Opfer in weniger als vier Stunden zurück. Nach dem Start der Massenphase der Kampagne wurden 11 Organisationen in 26 Sekunden kompromittiert. In einem Fall – dem Angriff auf eine Schule in den USA – vergingen vom ersten Zugriff bis zum Erhalt von Domänen-Administratorrechten nur sieben Minuten.
Nach Erkenntnissen von Blackpoint Cyber wurde AI nicht nur zur Generierung von Exploits eingesetzt, sondern auch zum Aufbau der gesamten operativen Pipeline: Erforschung von Schwachstellen, Vergleich von gepatchten und ungepatchten Builds, Erstellung eines multithreaded Validierungstools, Filterung der Ziele nach Geolokation und Land, Analyse von Fehlern und erneuten Versuchen. Das System hielt den Projektkontext über den gesamten Lebenszyklus hinweg aufrecht – von der Recherche bis zur Ausnutzung. Dafür kamen zwei Open-Source-Werkzeuge zum Einsatz: Hindsight (ein Service für dauerhaften Speicher für AI-Agenten) und AionUi (eine grafische Umgebung für den parallelen Start von Agenten).
Nach Angaben von GreyNoise versuchte der Angreifer ausdrücklich, Organisationen in 28 Ländern – darunter Russland, China, Hongkong, Iran und eine Reihe weiterer Staaten – von der Attacke auszunehmen, doch diese Filterung funktionierte nicht in allen Fällen. Hauptziel war der Bildungssektor in den USA, Großbritannien, Frankreich, Spanien, Kanada und mehreren europäischen Ländern.
Beobachtete Post-Exploitation-Aktivität
Huntress registrierte die Ausnutzung in zwei Kundenumgebungen. In beiden Fällen beschränkte sich die Aktivität auf Aufklärung: Es wurden die Befehle whoami, ver und tasklist ausgeführt, um Benutzerkonto, OS-Version und laufende Prozesse zu ermitteln. In diesen Umgebungen wurden weder nachgeladene Malware, noch zusätzliche Kontrollkanäle oder Persistenzmechanismen festgestellt.
In der breiter angelegten Kampagne, die von GreyNoise beschrieben wurde, umfasste die Post-Exploitation-Aktivität das Sammeln von Windows-Registry-Daten, Java-Payloads für Metasploit/Meterpreter sowie Befehle zur Erkennung von Hosts, Benutzern und Konfigurationsdaten. Domänen-Administratorzugriff wurde nur in 12 von 395 Organisationen erreicht. Die Endziele des Angreifers sind weiterhin unklar – GreyNoise weist darauf hin, dass nicht bekannt ist, ob der Angreifer als Initial-Access-Broker agiert oder eigenständig Datendiebstahl oder die Verteilung von Ransomware plant.
Indikatoren einer Kompromittierung und Erkennung
Nach Angaben von Huntress sollte man zur Identifizierung einer Kompromittierung auf die folgende Kombination von Anzeichen achten:
- Verdächtige Aktivität des Prozesses
pc-app.exeoder von ihm erzeugter Kindprozesse - Fehlende oder abgeschnittene Datei
server.log(die Payload löschte sie nach der Ausführung) - Unerwartete
.class-Dateien im Verzeichnisserver/lib .cmd– oder.out-Dateien im Verzeichnisserver/data/content- Fehler „No suitable driver found for jdbc:no:x“ und „Database error looking up cardID: VALUES CAST“ in den Logs
Gerade die Kombination dieser Artefakte – und nicht jedes einzelne für sich – ist ein verlässlicher Indikator. Das Vorliegen von Aktivität des Prozesses pc-app.exe zusammen mit der verschwundenen Datei server.log und untypischen Klassendateien grenzt die Suche deutlich genauer ein als nur zu prüfen, ob PaperCut aus dem Internet erreichbar ist.
IOC: IP-Adresse 45.142.193[.]132 (VirusTotal).
Empfehlungen zur Behebung
PaperCut hat vollständige Sicherheitsupdates veröffentlicht, die alle zuvor bereitgestellten Notfall-Patches ersetzen (von denen der erste sich als unvollständig erwies und umgangen werden konnte):
- PaperCut NG/MF 26.0.5
- PaperCut NG/MF 25.0.13
- PaperCut NG/MF 24.1.10
Diese Releases beinhalten alle Korrekturen aus den Notfall-Patches 1, 2 und 3 sowie zusätzliche Härtungsmaßnahmen. Organisationen, die Notfall-Patches installiert haben, sollten auf den entsprechenden Wartungs-Release umsteigen. Zum Zeitpunkt des ursprünglichen Berichts von Huntress am 27. August liefen 47 % der von ihr beobachteten PaperCut-Installationen auf Version 23 oder älter, für die kein Patch verfügbar war. Nutzern dieser Versionen wird empfohlen, auf einen aktuellen Release zu aktualisieren.
Neben dem Update empfiehlt PaperCut nachdrücklich, die Weboberfläche des Application Server aus dem öffentlichen Zugriff zu nehmen und Zugriffe nur noch von vertrauenswürdigen IP-Adressen, über VPN oder einen anderen kontrollierten Kanal zu erlauben. Außerdem sollten Site Server und zusätzliche Druckserver aktualisiert werden. Die Komponenten Print Deploy und Mobility Print sind von der Schwachstelle nicht betroffen.
Diese Kampagne zeigt einen qualitativen Sprung beim Einsatz von AI durch Angreifer: Künstliche Intelligenz hilft hier nicht nur beim Schreiben eines Exploits, sondern ist das zentrale Element der gesamten operativen Architektur – von der Schwachstellenanalyse bis zur Skalierung des Angriffs mit Rückkopplung. Organisationen, die PaperCut NG/MF einsetzen, müssen umgehend die Updates auf die Versionen 26.0.5, 25.0.13 oder 24.1.10 installieren, die Weboberfläche aus dem öffentlichen Zugriff entfernen und ihre Systeme auf die beschriebenen Indikatoren einer Kompromittierung prüfen – die Frist zur Behebung gemäß CISA KEV läuft am 14. September 2026 ab.
