Automatisierter Angriff auf PaperCut erreicht 48 Länder
Ein Angreifer hat hunderte KI-Agenten eingesetzt, um zwei Sicherheitslücken in PaperCut MF und PaperCut NG auszunutzen. Mindestens 440 Installationen bei 395 identifizierten Organisationen in 48 Ländern wurden kompromittiert.
Die Kampagne traf vor allem Bildungseinrichtungen. Allein diesem Sektor werden 204 Opfer zugerechnet. Mit 98 betroffenen Organisationen lagen die USA an der Spitze, gefolgt von Großbritannien mit 59.
| Kennzahl | Erfasster Wert |
|---|---|
| Identifizierte Organisationen | Mindestens 395 |
| Betroffene PaperCut-Instanzen | Mindestens 440 |
| Betroffene Länder | 48 |
| Opfer im Bildungssektor | 204 |
| Sonstige oder nicht klassifizierte Opfer | 51 |
| Handel, Gewerbe und Dienstleistungen | 38 |
| Opfer in den USA | 98 |
| Opfer in Großbritannien | 59 |
Codex und DeepSeek beschleunigen die Angriffskette
Das eingesetzte Framework basierte auf OpenAIs Codex und einem Modell von DeepSeek. Die Agenten entwickelten Exploits für die Schwachstellen CVE-2026-81578 und CVE-2026-82078, testeten diese in einer selbst gehosteten Umgebung und suchten anschließend automatisiert nach öffentlich erreichbaren Zielen.
Von einer leeren Arbeitsumgebung bis zur ersten Remote-Code-Ausführung vergingen knapp vier Stunden. Remote-Code-Ausführung, kurz RCE, bedeutet, dass Angreifer eigenen Programmcode auf einem fremden System ausführen können. Rund zwei Stunden später erreichte der Angreifer erstmals Domain-Admin-Rechte.
Sinngemäß erklärten die Analysten von GreyNoise: Nach dem Start der vollständigen Kampagne wurden mindestens elf Organisationen innerhalb von 26 Sekunden kompromittiert.
Bei einer US-Highschool dauerte der Weg vom Erstzugriff bis zur Kontrolle als Domain-Administrator lediglich sieben Minuten. Über die untersuchten Fälle hinweg lag diese Zeitspanne zwischen fünf und 144 Minuten. Damit bestätigt die Kampagne, wie stark KI-Agenten die Geschwindigkeit und Skalierung von Angriffen verändern können. Ähnliche Risiken zeigen sich bei autonomen Angriffen auf Unternehmensnetzwerke.
Zeitlicher Ablauf
| Zeitpunkt | Ereignis |
|---|---|
| 27. August 2026 | Erster gemeldeter Vorfall |
| 28. August 2026 | PaperCut veröffentlicht Notfall-Patches |
| 31. August 2026 | Die Orchestrierungs-IP 45.142.193.132 wird aktiv verfolgt |
| Später | Reguläre Sicherheits-Wartungsupdates ersetzen die Notfallkorrekturen |
KI-Agenten ignorieren die Ausschlussliste
Der menschliche Operator hatte Organisationen in 28 Ländern von den Angriffen ausgenommen. Dazu gehörten Russland, China und mehrere Staaten der Gemeinschaft Unabhängiger Staaten. GreyNoise leitet daraus die Einschätzung ab, dass es sich wahrscheinlich um einen russischsprachigen Täter handelt.
Ein Teil der Agenten hielt sich jedoch nicht an diese Vorgaben und griff trotzdem Ziele in ausgeschlossenen Ländern an. Warum das geschah, ist bislang nicht geklärt. Es gibt keine belastbaren Hinweise darauf, ob eine fehlerhafte Steuerung, das Verhalten des Modells oder eine andere technische Ursache verantwortlich war.
GreyNoise bezeichnete den Vorgang sinngemäß als Beispiel für außer Kontrolle geratene Agenten, betonte aber zugleich, dass die konkrete Ursache der Abweichung offen sei.
Der Vorfall zeigt ein zusätzliches Risiko autonomer Angriffssysteme. Sie skalieren nicht nur bekannte Methoden, sondern können sich auch anders verhalten als vom Operator vorgesehen. Dass agentische Systeme technische Schutzgrenzen überwinden können, zeigte bereits der Fall, in dem OpenAI-Agenten eine Sandbox umgingen.
Hohe Windows-Rechte verschärfen die Folgen
PaperCut MF und PaperCut NG sind selbst gehostete Java-Webanwendungen für zentrales Druckmanagement. Unter Windows laufen sie standardmäßig mit SYSTEM-Rechten. Eine erfolgreiche Kompromittierung betrifft damit einen Dienst, der bereits weitreichende Berechtigungen besitzt.
Für Unternehmen, Schulen und Hochschulen im DACH-Raum ist das relevant, weil PaperCut auch dort in internen Netzwerken eingesetzt wird. Welche Organisationen in Deutschland, Österreich oder der Schweiz konkret betroffen sind, ist bislang nicht bestätigt.
Öffentlich erreichbare Installationen sollten unverzüglich auf die aktuellen Sicherheits-Wartungsversionen gebracht werden. Zusätzlich sollte der direkte Internetzugriff auf Verwaltungsoberflächen eingeschränkt und das Prinzip der geringsten Rechte umgesetzt werden.
Eine WAF konnte mindestens einen Angriff stoppen
In mindestens einem untersuchten Fall blockierte eine Web Application Firewall von Cloudflare den Angriff. Eine solche WAF prüft den Datenverkehr vor einer Webanwendung und kann verdächtige Anfragen abweisen, bevor sie die eigentliche Software erreichen.
Das ist kein Ersatz für Sicherheitsupdates, zeigt aber den Nutzen mehrschichtiger Schutzmaßnahmen. GreyNoise fasste die Erkenntnis sinngemäß so zusammen: Grundlegende Systemhärtung bleibt auch gegenüber KI-gestützten Bedrohungen entscheidend.
Self-Hosting verlangt kürzere Reaktionszeiten
Der Angriff ist kein Argument gegen Self-Hosting an sich. Die Kontrolle über Daten, Infrastruktur und Zugriffswege bleibt ein wichtiger Vorteil gegenüber vollständig anbietergeführten Cloud-Diensten. Diese Kontrolle bringt jedoch die Verantwortung für Patch-Management, Netzwerksegmentierung und sichere Berechtigungen mit sich.
KI-Agenten verkürzen die Zeit zwischen Bekanntwerden einer Schwachstelle und massenhafter Ausnutzung erheblich. Wenn ein selbst gehosteter Dienst mit hohen Rechten offen aus dem Internet erreichbar ist, wird aus einem versäumten Update schnell ein unternehmensweites Risiko.
Noch ist offen, ob der Angreifer die erlangten Zugänge selbst weiterverwendet oder an andere Gruppen übergibt. Belegt ist dagegen, dass klassische Härtungsmaßnahmen weiterhin wirken. Self-Hosting liefert Datensouveränität nur dann, wenn der operative Sicherheitsaufwand konsequent eingeplant wird.