{"id":50197,"date":"2026-08-27T22:42:57","date_gmt":"2026-08-27T20:42:57","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=50197"},"modified":"2026-08-27T22:42:57","modified_gmt":"2026-08-27T20:42:57","slug":"papercut-sicherheitsluecke-ng-mf-zero-day-50197","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/papercut-sicherheitsluecke-ng-mf-zero-day-50197\/","title":{"rendered":"PaperCut-Sicherheitsl\u00fccke in NG und MF wird bei Zero-Day-Angriffen ausgenutzt"},"content":{"rendered":"<p><a href=\"https:\/\/www.papercut.com\/\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">PaperCut<\/a> hat eine dringende Sicherheitswarnung herausgegeben: Eine bisher nicht n\u00e4her bezeichnete Schwachstelle in allen Versionen der Druckmanagement-Software PaperCut NG und PaperCut MF wird derzeit in gezielten <a href=\"https:\/\/overcentral.com\/de\/metabase-zero-day-sqli-schwachstelle\/\" title=\"Metabase Zero-Day SQLi erm\u00f6glicht Datendiebstahl bei Kunden\" data-iacss-internal=\"1\">Zero-Day<\/a>aa-Angriffen aktiv ausgenutzt. Das Unternehmen best\u00e4tigt konkrete Vorf\u00e4lle bei Kunden und stuft die Bedrohung als kritisch ein.<\/p>\n<h2>Zero-Day-Angriffe auf PaperCut NG und PaperCut MF: akute Bedrohung f\u00fcr Unternehmen<\/h2>\n<p>Die Sicherheitsl\u00fccke betrifft s\u00e4mtliche Versionen von PaperCut NG und PaperCut MF, wie das Unternehmen in einem am Donnerstag ver\u00f6ffentlichten Security Advisory mitteilt. PaperCut warnt eindringlich, dass Angreifer die Schwachstelle in freier Wildbahn ausnutzen. Das Sicherheitsteam konnte die Verwundbarkeit auf Basis von Informationen eines betroffenen Kunden aus dem Hochschulbereich reproduzieren. Bisher wurden keine konkreten Details zur genauen Art des Fehlers oder der Ausnutzungsmethode ver\u00f6ffentlicht.<\/p>\n<p>Unternehmen mit einem \u00fcber das Internet erreichbaren PaperCut Application Server werden angewiesen, umgehend restriktive Ma\u00dfnahmen zu ergreifen. Die dringendste Empfehlung lautet, den Zugriff auf die Weboberfl\u00e4chen ausschlie\u00dflich auf vertrauensw\u00fcrdige IP-Adressen zu beschr\u00e4nken. Parallel dazu hat PaperCut einen ersten Notfall-Patch f\u00fcr Kunden mit \u00f6ffentlich zug\u00e4nglichen NG\/MF-Servern bereitgestellt, die keine anderen Ma\u00dfnahmen umsetzen k\u00f6nnen. Das Unternehmen betont, dass dieser Patch als letzte Option vorgesehen ist, falls eine Netzwerksegmentierung nicht m\u00f6glich ist.<\/p>\n<h3>Indikatoren f\u00fcr eine Kompromittierung: worauf Administratoren achten m\u00fcssen<\/h3>\n<p>PaperCut hat konkrete Indikatoren f\u00fcr eine m\u00f6gliche Kompromittierung ver\u00f6ffentlicht. Administratoren sollten unverz\u00fcglich Systeme auf folgende Anzeichen einer Attacke pr\u00fcfen. Zu den wichtigsten Warnsignalen z\u00e4hlt verd\u00e4chtiges Verhalten des legitimen PaperCut-Prozesses <code>pc-app.exe<\/code>codecodecode. Weiterhin m\u00fcssen die <code>server.log<\/code>codecodecode-Dateien auf ungew\u00f6hnliche Eintr\u00e4ge untersucht werden:<\/p>\n<ul>\n<li>Modifizierte, gel\u00f6schte oder fehlende <code>server.log<\/code>codecodecode-Dateien<\/li>\n<li>Die Fehlermeldung: <code>ERROR No suitable driver found for jdbc:no:x<\/code>codecodecode<\/li>\n<li>Der Fehlerhinweis: <code>ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST<\/code>codecodecode<\/li>\n<\/ul>\n<p>PaperCut stellt jedoch klar, dass das Fehlen dieser Indikatoren nicht zwangsl\u00e4ufig bedeutet, dass ein System nicht kompromittiert wurde. Die Angreifer k\u00f6nnten ihre Spuren verwischen. Aktuell hat das Unternehmen noch keine Informationen dar\u00fcber ver\u00f6ffentlicht, welche Akteure hinter den Attacken stecken, welche Ziele sie nach der Kompromittierung verfolgen oder ob Daten gestohlen werden.<\/p>\n<h2>Warum PaperCut-Server ein lohnendes Ziel f\u00fcr Angreifer sind<\/h2>\n<p>Druckmanagementserver wie PaperCut sind aus mehreren Gr\u00fcnden besonders attraktiv f\u00fcr Cyberkriminelle. Sie laufen h\u00e4ufig mit erh\u00f6hten Systemrechten und sind als zentrale Infrastrukturkomponente in Unternehmensnetzwerken positioniert. Ein erfolgreicher Zugriff auf den Application Server kann Angreifern einen privilegierten Einstiegspunkt in das gesamte Firmennetzwerk verschaffen. Dazu kommt, dass PaperCut Application Server aus betrieblichen Gr\u00fcnden oft direkt aus dem Internet erreichbar sein m\u00fcssen, etwa um dezentrale Drucker oder externe Standorte anzubinden.<\/p>\n<h3>Historische Angriffswellen zeigen das Gefahrenpotenzial<\/h3>\n<p>PaperCut war bereits in der Vergangenheit mehrfach Ziel massiver Angriffswellen. Im April 2023 begannen Angreifer damit, die kritische Schwachstelle CVE-2023-27350 auszunutzen. Diese erlaubte es nicht authentifizierten Angreifern, die Authentifizierung zu umgehen und Remote-Code auf verwundbaren Servern auszuf\u00fchren. Microsoft verband diese Angriffe sp\u00e4ter unter anderem mit der Clop-Ransomware-Gruppe, die PaperCut-Server als Einstiegspunkt f\u00fcr Erpressungsangriffe nutzte. Weitere Untersuchungen zeigten, dass auch die LockBit-Ransomware-Operation auf diese Schwachstelle zur\u00fcckgriff.<\/p>\n<p>Die Angriffswelle weitete sich schnell auf andere Bedrohungsakteure aus. Microsoft dokumentierte, dass sogar iranische staatlich unterst\u00fctzte Hackergruppen die CVE-2023-27350 f\u00fcr ihre Operationen einsetzten. Im Mai 2023 warnten <a href=\"https:\/\/overcentral.com\/de\/cisa-oracle-sicherheitsluecke-49880\/\" title=\"CISA warnt vor kritischen Oracle-L\u00fccken\" data-iacss-internal=\"1\">CISA<\/a> und das FBI in einer gemeinsamen Mitteilung vor der Bl00dy-Ransomware-Bande, die gezielt PaperCut-Server im Bildungssektor angriff. Die Angreifer nutzten die Sicherheitsl\u00fccke haupts\u00e4chlich, um ersten Zugang zu den Netzwerken der Opfer zu erhalten, weniger um direkt archivierte Dokumente von den PaperCut-Servern zu stehlen.<\/p>\n<h3>Welche konkreten Ma\u00dfnahmen sollten betroffene Unternehmen jetzt ergreifen<\/h3>\n<p>Die Priorit\u00e4t f\u00fcr Administratoren liegt auf der sofortigen Sicherung des Application Servers. Der sicherste Weg ist die vollst\u00e4ndige Unterbindung des Zugriffs aus dem Internet. L\u00e4sst sich der externe Zugriff nicht vermeiden, m\u00fcssen restriktive Firewall-Regeln implementiert werden. Der von PaperCut bereitgestellte Notfall-Patch sollte umgehend eingespielt werden, sofern keine anderen Netzwerksegmentierungen greifen.<\/p>\n<p>Parallel dazu m\u00fcssen die genannten Indikatoren f\u00fcr eine Kompromittierung auf allen PaperCut-Servern \u00fcberpr\u00fcft werden. Eine forensische Analyse der Systeme ist anzuraten, um m\u00f6gliche laterale Bewegungen der Angreifer im Netzwerk zu identifizieren. Unternehmen sollten zudem ihre Zugriffsprotokolle auf ungew\u00f6hnliche Aktivit\u00e4ten hin untersuchen und die Patches des Herstellers priorisiert installieren.<\/p>\n<p>Die aktuelle Situation zeigt, dass Print-Management-Systeme ein nach wie vor untersch\u00e4tztes Einfallstor darstellen. Angesichts der historisch belegten Angriffswellen und der Schwere der aktuellen Zero-Day-Ausnutzung ist ein sofortiges Handeln nicht optional, sondern zwingend erforderlich. PaperCut hat angek\u00fcndigt, das Advisory mit weiteren Indikatoren und Abhilfema\u00dfnahmen zu aktualisieren, sobald die Untersuchungen fortschreiten.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>PaperCut hat eine dringende Sicherheitswarnung herausgegeben: Eine bisher nicht n\u00e4her bezeichnete Schwachstelle in allen Versionen der Druckmanagement-Software PaperCut NG und PaperCut MF wird derzeit in gezielten Zero-Dayaa-Angriffen aktiv ausgenutzt. Das Unternehmen best\u00e4tigt konkrete Vorf\u00e4lle bei Kunden und stuft die Bedrohung als kritisch ein. Zero-Day-Angriffe auf PaperCut NG und PaperCut MF: akute Bedrohung f\u00fcr Unternehmen Die [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":53859,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50197.png","fifu_image_alt":"PaperCut-Sicherheitsl\u00fccke in NG und MF wird bei Zero-Day-Angriffen ausgenutzt","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-50197","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50197.png","fifu_image_alt":"PaperCut-Sicherheitsl\u00fccke in NG und MF wird bei Zero-Day-Angriffen ausgenutzt","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50197","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=50197"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50197\/revisions"}],"predecessor-version":[{"id":50199,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50197\/revisions\/50199"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53859"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=50197"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=50197"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=50197"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}