CISA setzt Frist bis 14. September für PaperCut, nachdem zweite Notfallkorrektur beim Bypass von watchTowr versagt hat

Die CISA fügte am Montag, den 31. August, zwei Schwachstellen von PaperCut NG/MF zum Katalog der Bekannt gemachten Schwachstellen (Known Exploited Vulnerabilities) hinzu und aktivierte die Binding Operational Directive 26-04, die amerikanische zivilen Bundesbehörden verpflichtet, bis zum 14. September Maßnahmen zu ergreifen. Die Schwachstellen sind die CVE-2026-82078, eine unsichere Reflexion mit einem CVSS von 9.4, und die CVE-2026-81578, eine fehlende Authentifizierung für kritische Funktionen mit einem CVSS von 8.8. In Kombination ermöglichen sie es einem nicht authentifizierten, entfernten Angreifer, die Serverkonfiguration zu ändern und beliebigen Java-Bytecode im Kontext des PaperCut-Prozesses auszuführen.

Die Ereignisse, die der Entscheidung der CISA vorausgingen, sind kurz und ungünstig. Die Angriffe begannen am 26. August. PaperCut veröffentlichte am 27. August ein Sicherheitshinweis und stellte am nächsten Tag den ersten Notfallpatch für die Versionen 25 und 26 von NG/MF zur Verfügung. Bereits am 28. August musste der Anbieter einen zweiten Notfallpatch veröffentlichen, der nun auch Version 24 einschloss, nachdem Forscher von watchTowr die Pre-Authentification-Kette reproduziert und den ursprünglichen Patch auf verschiedene Weise umgangen hatten. Huntress konnte die gesamte Kette reproduzieren und beobachtete die Ausnutzung in zwei Kundenumgebungen, wobei sich die Angreifer in der Reconnaissance-Phase befanden.

Warum der zweite Notfallpatch schwer wiegt

Zwei Patches in 48 Stunden für die gleiche Remote Code Execution weisen auf unzureichende Ingenieurfähigkeiten beim ersten Fix hin, was die operationale Verantwortung auf die installierte Basis abwälzt. PaperCut ist ein australisches Unternehmen mit Sitz in Melbourne, das über 100 Millionen Benutzer in Bildungs-, Gesundheits- und Regierungsumgebungen in rund 200 Ländern hat. Der Verwaltungsserver ist in einem erheblichen Teil dieser Installationen dem Internet ausgesetzt, was den Pre-Authentification-Vektor besonders gefährlich macht.

Das Team von watchTowr gab an, dass die Bypass-Route die Manipulation der Zugriffsvalidierungslogik vor der endgültigen Autorisierungsprüfung beinhaltete, ein Muster, das bereits in früheren Vorfällen von PaperCut im Jahr 2023 aufgetreten ist, als Schwachstellen des Produkts von Cl0p-Affiliates in Umgebungen mit MOVEit genutzt wurden. Die wiederholte Geschichte bietet die Grundlage für die Entscheidung der CISA, einen verpflichtenden Patch vorzuschreiben.

Wie sich die Bundesrichtlinie ausbreitet

Die BOD 26-04 gilt für die zivilen Exekutivstellen der USA, hat aber praktische Auswirkungen, die darüber hinausgehen. Verwaltete Anbieter, die der US-Bundesregierung dienen, müssen ebenfalls die Patches in den Kundenumgebungen anwenden, um die vertragliche Konformität aufrechtzuerhalten, was Integratoren wie Leidos, CGI Federal, Peraki und die US-Niederlassung von Capgemini Government Solutions einschließt. Große amerikanische Universitäten, die einen erheblichen Teil des installierten PaperCut-Parks repräsentieren, tendieren dazu, denselben Zeitrahmen aus politischer Übereinstimmung zu befolgen.

Im Vereinigten Königreich veröffentlicht das National Cyber Security Centre historisch gesehen Warnmeldungen zeitversetzt zu den Einträgen im KEV mit einer Verzögerung von mehreren Stunden, was britische Universitäten, den NHS und mehrere Councils dazu führen sollte, den Zeitplan bis Mitte September zu wiederholen. In Deutschland aktiviert das BSI seinen eigenen Warn- und Informationsdienst mit einem ähnlichen Verfahren für die Bundesministerien. Für die Sicherheitsbereiche globaler Unternehmen mit Niederlassungen in den USA ist die Ausrichtung praktisch verbindlich, da der externe Auditor jede Ausnahme in einer etwaigen SOC 2- oder ISO 27001-Bewertung, die im Oktober vorgelegt wird, annotieren wird.

Was der CISO vom Anbieter verlangen sollte

Der sofortige operative Punkt besteht darin, die von Huntress und Rapid7 veröffentlichten Indikatorchecks auszuführen, auf die korrigierten Versionen von NG/MF zu aktualisieren und, falls der Verwaltungsserver exponiert ist, ihn bis zur Validierung aus dem Internet zu nehmen. Der unmittelbare vertragliche Punkt hingegen ist anders: Fordern Sie von PaperCut ein öffentliches Post-Mortem darüber, warum der erste Patch fehlgeschlagen ist und welche Änderungen im Testprozess vorgenommen wurden, um einen dritten zu verhindern. Wenn diese Antwort nicht vor dem nächsten Erneuerungszyklus kommt, erhält der CISO das richtige Argument, um die Lösung einer Risikobewertung des Anbieters zu unterziehen. Die wiederholte Beschaffung des Produkts ohne diese formale Anforderung ist zu ignorieren, dass die Grenze zwischen einem Notfallpatch und einem Notfall-Notfallpatch bereits zweimal in derselben Woche überschritten wurde.