Der Druckmanagement-Anbieter PaperCut hat am 28. August 2026 einen zweiten Notfall-Patch (Emergency Patch Release 2) fuer seine weit verbreitete Software PaperCut NG und MF veroeffentlicht. Ausloeser waren gleich mehrere von Sicherheitsforschern gefundene Wege, den urspruenglichen Fix vom 27. August zu umgehen. Zwei verkettbare Schwachstellen werden nach Angaben mehrerer Sicherheitsfirmen bereits aktiv fuer eine nicht authentifizierte Remote-Code-Ausfuehrung (Pre-Auth RCE) ausgenutzt.
Zwei Luecken, eine Angriffskette
Im Zentrum stehen zwei Sicherheitsluecken. CVE-2026-82078 (CVSS 9.4) ist eine kritische Schwachstelle durch unsicheres dynamisches Class-Loading in den Datenbank-Verbindungswerkzeugen und erlaubt die Ausfuehrung von beliebigem Java-Bytecode. CVE-2026-81578 (CVSS 8.8) ist ein Fehler in der Zugriffskontrolle der Weboberflaeche, ueber den ein nicht angemeldeter Angreifer Systemkonfigurationen manipulieren kann. Kombiniert ergeben beide eine vollstaendige Pre-Auth-RCE-Kette. Die Sicherheitsfirma Huntress beobachtete am 26. und 27. August aktive Ausnutzung in zwei Kundenumgebungen; auch watchTowr reproduzierte die Luecken und fand weitere Umgehungstechniken des ersten Patches.
Betroffene Versionen und Handlungsempfehlung
Betroffen sind alle NG/MF-Versionen vor dem 27. August 2026. PaperCut stellt Emergency Patch Release 2 fuer die Zweige 24, 25 und 26 unter Windows, Linux und macOS bereit; wer noch Version 23 oder aelter nutzt, sollte auf eine aktuelle Ausgabe wechseln.
- Release 2 unbedingt installieren, auch wenn der erste Patch bereits eingespielt wurde.
- Zugriff auf die Weboberflaeche per Firewall auf vertrauenswuerdige IP-Adressen beschraenken.
- Auf Kompromittierung pruefen: verdaechtige
pc-app.exe-Aktivitaet, fehlendeserver.log-Dateien und ungewoehnliche Datenbank-Fehlermeldungen.
Quellen: BleepingComputer, Huntress, PaperCut Security Bulletin
