PaperCut: Von Exploitation zu Active Intrusions – CISA warnt
PaperCut: Von Exploitation zu Active Intrusions – CISA warnt vor kritischen Lücken
Was passiert: Zwei CVEs im aktiven Missbrauch – CISA eskaliert Warnstufe
Zwei Schwachstellen in PaperCut MF/MP-Drucksystemen befinden sich im aktiven Missbrauch durch Angreifer. Laut SecurityWeek hat die US-Behörde CISA die Vulnerabilities CVE-2026-82078 und CVE-2026-81578 in ihren Known Exploited Vulnerabilities (KEV) Catalog aufgenommen — ein Status, der signalisiert, dass öffentliche Exploits oder Proof-of-Concepts existieren und Threat-Akteure diese bereits in Live-Angriffen nutzen. PaperCut selbst hat mittlerweile eine zweite Emergency-Patch-Runde veröffentlicht, um die Lücken zu schließen. Damit wird die Schwere der Situation unterstrichen: Nicht nur einzelne, sondern mehrere Exploits zirkulieren und funktionieren in der Wildnis.
Die technische Dimension zeigt sich in der Art der Nachfolger-Aktivitäten. Wie Help Net Security berichtet, installieren Threat-Akteure nach erfolgreicher Kompromittierung von internetfähigen PaperCut Application Servern gezielt legitime Remote-Access-Software (RAT-ähnliche Tools, aber legale Produkte wie TeamViewer oder AnyDesk). Dies ist ein klassischer Post-Exploitation-Schritt: Nachdem der initiale Zugriff gewonnen ist, sichern sich Angreifer einen persistenten Backdoor, um die Kontrolle zu wahren, auch wenn die ursprüngliche Lücke gepacht ist. Die betroffenen Geräte sind typischerweise direkt aus dem Internet erreichbar — PaperCut-Druckserver werden oft als zentrale Print-Management-Appliances deployed und sitzen häufig in DMZ oder mit öffentlicher IP.
Zeitlich verschärft sich die Situation: SecurityWeek dokumentiert, dass nach dem Bekanntwerden der Lücken die Exploitations-Rate rasant stieg. PaperCut betreut weltweit Millionen Drucker in Unternehmen, Behörden und Bildungseinrichtungen. Die Tatsache, dass CISA sie ins KEV-Katalog aufnahm, bedeutet gleichzeitig, dass US-Bundesbehörden und kritische Infrastrukturen eine Patchfrist — typischerweise 6 Monate — haben, um die Systeme zu härten. Parallel beginnen Scanning-Kampagnen im Internet, um anfällige PaperCut-Instanzen zu identifizieren.
Warum für DACH relevant: Druckerserver im Visier der Regulierung
Im deutschsprachigen Raum ist PaperCut eine verbreitete Lösung für Print-Management in größeren Mittelstands- und Großunternehmen, insbesondere in produzierenden Betrieben, Versicherungen und der öffentlichen Verwaltung. Drucker gelten häufig als "unsichtbare" Infrastruktur — sie sind vorhanden, funktionieren, werden aber selten in Sicherheits-Audits oder Vulnerability-Management-Prozessen berücksichtigt. Das ist ein typisches Blindspot-Muster: Während Firewalls, Server und Endpoints regelmäßig gescannt werden, landen Drucker und ihre Management-Systeme leicht unter dem Radar.
Unter DSGVO-Perspektive verschärft sich die Lage, weil ein kompromittierter PalerCut-Server häufig Zugang zu Netzwerk-Shares, Benutzerverzeichnissen und sogar Scan-Funktionen hat, die personenbezogene Daten verarbeiten können. Kompromittierungen müssen unter Umständen als Datenschutzvorfälle gemeldet werden — insbesondere wenn Drucke mit Kundendaten oder Personalinformationen verarbeitet wurden.
Die Behörden im DACH-Raum haben verstärkt Fokus auf kritische Infrastruktur gelegt (NIS2-Umsetzung in Deutschland, AT-KRITIS in Österreich). Auch wenn Drucksysteme nicht direkt unter KRITIS fallen, sind sie in der Realität oft mit KRITIS-Netzwerken verbunden oder sitzen in Netzwerk-Segmenten mit hohem Vertrauenslevel. Ein Angreifer, der über einen PaperCut-Server in ein Behörden- oder Energieversorgungsnetz eindringt, hat damit Zugang zu wertvollen Zonen gewonnen.
Zusätzlich sind in deutschsprachigen Unternehmen viele älter deployete PaperCut-Versionen noch im Einsatz. Patch-Management bei Peripherie-Geräten läuft oft nach anderen (langsameren) Zyklen als bei zentraler IT-Infrastruktur. Das erhöht die Fenster der Anfälligkeit erheblich.
Was du jetzt tun solltest: Sofort inventarisieren und patchen
Der unmittelbare Handlungspunkt ist eine Asset-Inventarisierung aller PaperCut-Instanzen im Netzwerk — Version, IP, Internet-Erreichbarkeit. Viele Teams werden überrascht sein, wie viele PaperCut-Server sie finden, von denen sie keine aktuelle Dokumentation haben. SecurityWeek und Help Net Security belegen, dass die aktiven Intrusions-Kampagnen gezielt nach Internet-facing Servern scannen; eine schnelle Konsequenz ist die Implementierung von Netzwerk-Egress-Filterung gegen die Remote-Access-Tools, die Angreifer installieren. Gleichzeitig sollte jeder PaperCut-Server auf die neueste Patch-Version überführt werden — PaperCut hat signalisiert, dass die zweite Emergency-Patch-Runde die Lücken geschlossen hat.
Ferner gehört PaperCut ab sofort in jeden Security-Operations-Prozess: Logs auswerten, Network-Access-Rules überprüfen, und bei der nächsten Threat-Hunt-Kampagne explizit nach Artefakten illegitimer Remote-Access-Software auf PaperCut-Systemen suchen. Für Unternehmen mit Pentesting-Programmen ist PaperCut jetzt eine höher priorisierte Testfläche — lesen Sie zu KI-gestützten und manuellen Penetration-Testing-Strategien mehr in unserem KI-Pentesting-Guide.
Alternativ können Organisationen mit sehr alten Versionen und langen Patch-Zyklen auch erwägen, PaperCut-Server hinter eine Reverse-Proxy-Authentifizierung oder ein Zero-Trust-Access-Gateway zu stellen, um die direkte Internet-Exponierung zu reduzieren — ein Muster, das die Security Operations für KI-gestützte Angriffe untersucht hat und auf Drill-Down-Ebene offenbart, wie wichtig Netzwerk-Segmentierung bei modernen Threat-Kampagnen ist.