Ein öffentlich erreichbarer Printserver wirkt selten wie das strategisch wichtigste System eines Unternehmens. In vielen Netzen läuft er jedoch mit hohen lokalen Rechten, ist an Active Directory angebunden und verarbeitet Zugangsdaten. Genau diese Kombination machte ungepatchte PaperCut-NG/MF-Server Ende August zum Einstiegspunkt einer ungewöhnlich stark automatisierten Angriffskampagne. Der entscheidende neue Befund ist nicht nur die Ausnutzung zweier Schwachstellen: Nach übereinstimmenden Analysen von GreyNoise und Blackpoint Cyber setzte der Angreifer hunderte KI-Agenten ein, um Exploits zu entwickeln, Fehler zu analysieren, Ziele zu sortieren und fehlgeschlagene Schritte automatisiert zu wiederholen.
GreyNoise veröffentlichte die Untersuchung am 9. September 2026. Demnach wurden mindestens 440 PaperCut-Instanzen bei 395 identifizierten Organisationen in 48 Ländern kompromittiert. Das ist kein Beleg dafür, dass KI völlig neue Angriffstechniken erfunden hätte. Es ist aber ein konkretes Beispiel dafür, wie agentische Systeme bekannte Werkzeuge, verwundbare Infrastruktur und persistente Arbeitszustände zu einer sehr schnellen Angriffspipeline verbinden können.
Zwei Schwachstellen bilden den Einstieg
Die Kampagne nutzte die Kette aus CVE-2026-81578 und CVE-2026-82078. Die erste Schwachstelle betrifft eine unzureichende Zugriffskontrolle in der Web-Managementoberfläche. Unter bestimmten Bedingungen kann ein nicht authentifizierter Angreifer administrative Backend-Aktionen auslösen und Konfigurationsparameter verändern. Der CVE-Eintrag bewertet sie mit 8,8 von 10 Punkten.
CVE-2026-82078 betrifft dynamisches Laden von Java-Klassen in den Datenbank-Hilfsfunktionen. PaperCut übernahm konfigurierbare Treibernamen, ohne sie auf eine Positivliste zulässiger Klassen zu begrenzen. Wer die betreffenden Systemparameter verändern konnte, konnte dadurch Java-Bytecode aus dem vorhandenen Klassenpfad im Sicherheitskontext des PaperCut-Serverprozesses ausführen. Die Schwachstelle erhielt 9,4 Punkte. Zusammengenommen ermöglichten beide Fehler eine nicht authentifizierte Remote-Code-Ausführung.
Das Schadenspotenzial hing stark von der Installation ab. GreyNoise weist darauf hin, dass die selbst betriebenen Java-Anwendungen unter Windows standardmäßig mit SYSTEM-Rechten laufen und häufig in eine Windows-Domäne integriert sind. Ein Internetzugang zum PaperCut-Server wurde damit nicht nur zum Applikationsrisiko, sondern möglicherweise zum Pfad in die zentrale Identitätsinfrastruktur.
PaperCut bestätigte reale Kundenfälle und veröffentlichte ab dem 27. August mehrere Notfall-Patches. Inzwischen empfiehlt der Hersteller die regulären Security-Releases 24.1.10, 25.0.13 und 26.0.5 oder neuer. CISA nahm beide CVEs am 31. August wegen nachgewiesener Ausnutzung in den KEV-Katalog auf.
Von der Forschung zur Angriffsfabrik
GreyNoise beobachtete die Aktivität ab dem 31. August. Der mutmaßlich russischsprachige Akteur baute zunächst eine eigene Testumgebung mit verwundbarem PaperCut und Active Directory auf. Parallel entstanden Ziellisten über einen Internet-Scanning-Dienst. Für die Agentensteuerung kam laut GreyNoise ein Codex-Harness zusammen mit einem DeepSeek-Modell zum Einsatz; ergänzt wurde das System durch allgemein verfügbare offensive Werkzeuge.
Blackpoint fand auf exponierter Betreiberinfrastruktur Projektdateien, die den Arbeitsablauf nachvollziehbar machten. Der Prozess reichte vom Vergleich gepatchter und ungepatchter Builds über Exploit-Tests und mehrstufige Zielprüfung bis zu Fehlerklassifikation und Wiederholungslogik. Zustandsdateien speicherten erledigte Arbeiten, Blockaden, nächste Hypothesen und aktuelle Kampagnenstände. Dadurch konnten spätere Agentensitzungen dort fortfahren, wo frühere aufgehört hatten.
Die Architektur behandelte Misserfolge nicht pauschal. Ziele wurden unter anderem nach Erreichbarkeit, Betriebssystem, abgeschlossenem Angriffsschritt und Eignung für weitere Aktionen sortiert. Blackpoint zufolge konnte das Werkzeug bis zu 200 Ziele parallel verarbeiten und unvollständige Fälle in bis zu 100 Wiederholungsrunden zurückführen. Das zeigt den eigentlichen Produktivitätseffekt: KI ersetzte nicht die vorhandenen Exploits und Post-Exploitation-Werkzeuge, sondern reduzierte den manuellen Aufwand für Entwicklung, Orchestrierung, Fehlerbehebung und Skalierung.
Zahlen mit wichtigen Einschränkungen
Laut GreyNoise gelang der Schritt von einem leeren Arbeitsbereich zur ersten Remote-Code-Ausführung gegen ein reales Ziel in knapp vier Stunden; rund zwei Stunden später wurde erstmals Domänenadministrator-Zugriff erreicht. Nach dem Start der breiten Kampagne wurden mindestens elf Organisationen innerhalb von 26 Sekunden kompromittiert. Bei einer US-Schule dauerte es sieben Minuten vom Erstzugriff bis zum Domänenadministrator.
Diese Spitzenwerte dürfen nicht mit flächendeckendem Erfolg verwechselt werden. BleepingComputer fasst GreyNoise-Daten so zusammen: Bei 280 Opfern wurden Zugangsdaten abgegriffen, bei 147 Betriebssystem- oder Domänengeheimnisse erlangt und nur bei zwölf Organisationen Administratorrechte in der Domäne erreicht. Der Angreifer definierte zudem Länder, die nicht angegriffen werden sollten; beobachtete Treffer zeigen, dass die Agenten diese Vorgabe nicht zuverlässig einhielten.
Auch das Endziel ist ungeklärt. Blackpoint kann nicht bestätigen, ob es sich um einen Initial-Access-Broker handelte. Datenabfluss oder spätere Ransomware wären mögliche Folgen, sind für die gesamte Kampagne aber nicht belegt. Die Opferzahlen und Zeitangaben stammen aus der Telemetrie und Analyse der Forschungsunternehmen, nicht aus einer vollständigen unabhängigen Erhebung aller betroffenen Organisationen.
Was Unternehmen jetzt konkret tun sollten
Erstens: Exposition und Patchstand gemeinsam prüfen. PaperCut-Application-Server sollten nicht direkt aus dem Internet erreichbar sein. Der Hersteller verlangt, Webzugriffe sofort auf vertrauenswürdige interne Adressen zu beschränken und auf die aktuellen Security-Releases zu aktualisieren. Eine Firewall-Regel ersetzt das Update nicht, senkt aber die unmittelbare Angriffsfläche.
Zweitens: Nach dem Patch nicht automatisch Entwarnung geben. Bei einer bereits aktiv ausgenutzten Schwachstelle ist Aktualisieren auch ein Incident-Response-Thema. Zu prüfen sind verdächtige Kindprozesse von pc-app.exe, insbesondere Kommandointerpreter und Skriptumgebungen, unerwartete privilegierte Konten, Zugriffe auf Registry-Hives sowie fehlende oder verkürzte server.log-Dateien. Zugangsdaten, die auf dem Server verfügbar waren, sollten nach einer bestätigten Kompromittierung rotiert werden.
Drittens: Dienstkonten und Netzpfade begrenzen. Ein Printmanagement-System sollte weder unter einem Domänenadministrator-Konto laufen noch auf einem Domain Controller installiert sein. Lokale Rechte, erreichbare Verwaltungsnetze und ausgehende Verbindungen gehören auf das notwendige Minimum reduziert. EDR-Regeln sollten ungewöhnliche Prozessketten vom Applikationsserver und Zugriffe auf LSASS oder Domänencontroller alarmieren.
Viertens: Verteidigung auf maschinelles Tempo ausrichten. Wochenlange Schwachstellenzyklen passen nicht zu Kampagnen, die Zielprüfung, Fehlerkorrektur und Wiederholungen parallelisieren. Internet-exponierte Assets brauchen tagesaktuelle Inventare, risikobasierte Notfallprozesse und Kontrollen, die eine Mitigation technisch verifizieren statt nur ein Ticket zu schließen.
Fazit
Die PaperCut-Kampagne zeigt keinen autonomen Superangreifer. Sie zeigt etwas praktisch Relevanteres: Ein Mensch kann mit Agenten, persistentem Projektzustand und vorhandenen Angriffswerkzeugen eine skalierbare Produktionslinie aufbauen. Für Verteidiger verkürzt sich damit vor allem die Zeit zwischen öffentlichem Wissen, funktionierender Angriffskette und breiter Ausnutzung. Die wirksame Antwort bleibt nüchtern: Exposition reduzieren, schnell patchen, privilegierte Dienstkonten vermeiden, nach Kompromittierung forensisch prüfen und Wiederherstellung samt Credential-Rotation vorbereiten.
Quellen
- GreyNoise, „Agents Gone Wild: An AI-Orchestrated Global Campaign Against PaperCut NG/MF“, 9. September 2026: https://www.greynoise.io/blog/ai-orchestrated-campaign-against-papercut-ng-mf
- Blackpoint Cyber, „Death by a Thousand PaperCuts: AI-Driven Exploitation at Scale“, September 2026: https://blackpointcyber.com/blog/death-by-a-thousand-papercuts-ai-driven-exploitation-at-scale/
- PaperCut, „URGENT Security Advisory: PaperCut NG/MF Security Bulletin“, zuletzt aktualisiert 2. September 2026: https://www.papercut.com/kb/Main/security-bulletin-27-aug-2026-urgent-security-advisory/
- CISA, „CISA Adds Two Known Exploited Vulnerabilities to Catalog“, 31. August 2026: https://www.cisa.gov/news-events/alerts/2026/08/31/cisa-adds-two-known-exploited-vulnerabilities-catalog
- CVE Program, CVE-2026-81578 und CVE-2026-82078: https://www.cve.org/CVERecord?id=CVE-2026-81578 und https://www.cve.org/CVERecord?id=CVE-2026-82078
- BleepingComputer, „AI-powered attack exploited PaperCut flaws to hack 395 organizations“, 10. September 2026: https://www.bleepingcomputer.com/news/security/ai-powered-attack-exploited-papercut-flaws-to-hack-395-organizations/
