Die kurze Antwort
Ein einzelner Angreifer nutzte hunderte KI-Agenten, um zwei PaperCut-NG/MF-Zero-Days zu bewaffnen und im Maschinentempo massenhaft auszunutzen — und kompromittierte so über 440 Server in 395 Organisationen und 48 Ländern. Die Agenten, aufgebaut um das Codex-Harness von OpenAI und ein DeepSeek-Modell plus Standard-Offensivtools, verwandelten Schwachstellenforschung in funktionierende, einsatzbereite Exploits für CVE-2026-81578 (Authentifizierungsumgehung) und CVE-2026-82078 (Remote Code Execution). Die Lücken wurden am 27. August 2026 offengelegt und am Folgetag gepatcht; die Kampagne kompromittierte reale Opfer binnen Stunden, und 11 Organisationen fielen innerhalb von 26 Sekunden nach Start.
Praktisch gelesen: KI-Agenten haben keine neue Schwachstellenklasse erfunden — sie haben den Zeitrahmen kollabieren lassen. Was früher ein erfahrenes Team Tage kostete, schafft heute ein Angreifer in Stunden, sodass das Fenster zum ruhigen Patchen faktisch verschwunden ist. Die belastbare Verteidigung sind realitätsnahe, automatisierungsgetriebene Penetrationstests und Sicherheitsaudits, die unterstellen, dass Angreifer sich im Maschinentempo bewegen — flankiert von einer Notfall-Patch-Taktung für alles, was aus dem Internet erreichbar ist.
Was bei PaperCut geschah
PaperCut NG/MF ist Druckmanagement-Software, die in Zehntausenden Netzen läuft — Schulen, Krankenhäusern, Händlern, Behörden — meist als stiller interner Server, an den niemand denkt. Am 27. August 2026 wurden zwei Schwachstellen darin als Zero-Days offengelegt: CVE-2026-81578, eine Authentifizierungsumgehung, und CVE-2026-82078, eine Remote-Code-Execution-Lücke. Verkettet ermöglichen sie einem nicht authentifizierten Angreifer die vollständige Kontrolle über den Server. PaperCut lieferte am Folgetag, dem 28. August, einen Notfall-Patch aus.
Bemerkenswert an diesem Vorfall sind nicht die Bugs, sondern wer sie ausnutzte und wie schnell. Threat-Intelligence-Teams von Blackpoint Cyber, GreyNoise und Arctic Wolf berichteten Anfang September, dass ein einzelner russischsprachiger Angreifer die frisch offengelegten Lücken in eine globale Massen-Exploit-Kampagne verwandelt hatte und dabei über 440 PaperCut-Installationen von 395 Organisationen in 48 Ländern kompromittierte — darunter die USA, Großbritannien, Frankreich, Spanien, Deutschland, Kanada, Belgien, Portugal, Australien und die Schweiz. Am härtesten traf es den Bildungssektor mit 204 Opfern, gefolgt von Handel und Professional Services, Immobilien und Gastgewerbe, IT- und Managed-Service-Anbietern, Non-Profits, Bibliotheken sowie Fertigung und Versorgung.
Der Angreifer tat dies nicht von Hand. Laut den Forschern orchestrierte er hunderte KI-Agenten — aufgebaut um das Codex-Harness von OpenAI und ein DeepSeek-Modell, verdrahtet mit Standard-Offensivtools wie Mimikatz, SharpHound, Certipy, Rubeus und Impacket —, um Forschung, Ausnutzung und Post-Kompromittierungs-Arbeit parallel abzuwickeln. Genau diese agentische Orchestrierungsschicht ist der Punkt, an dem maßgeschneidertes KI-Agenten-Engineering aufhört, eine Produktivitätsgeschichte zu sein, und zum Bedrohungsmodell wird: Dieselben Muster, mit denen Teams legitime Workflows automatisieren, wurden auf verwundbare Infrastruktur gerichtet.
Wie KI-Agenten die Kampagne fuhren
Streicht man den Marketing-Lack um „KI-gestützte Angriffe“ weg, ist die Mechanik konkret. Der Angreifer nutzte Large-Language-Model-Agenten, um den gesamten Ausnutzungs-Lebenszyklus zu komprimieren: das Advisory lesen, den verwundbaren Codepfad verstehen, einen Proof of Concept schreiben und verfeinern, ihn in ein Multi-Thread-Validierungstool packen, das Internet nach exponierten Instanzen scannen und dann das Exploit-und-Pivot-Playbook gegen alles Gefundene laufen lassen. Jeder dieser Schritte war früher ein menschlicher Flaschenhals; die Agenten beseitigten ihn, indem sie sie parallel und rund um die Uhr ausführten.
Die von den Forschern rekonstruierte Zeitleiste ist der Teil, den man sich merken sollte. Die Schwachstellenforschung begann Berichten zufolge um den 31. August 2026 und wurde binnen Stunden in ein funktionierendes Multi-Thread-Validierungstool verwandelt, mit erster Kompromittierung realer Opfer in unter vier Stunden. Nach dem ernsthaften Start wurden 11 Organisationen innerhalb von 26 Sekunden kompromittiert. An einer weiterführenden Schule gelangte der Angreifer vom Erstzugriff zum Domänen-Administrator in sieben Minuten. Über die Kampagne hinweg wurden Zugangsdaten von rund 280 Hosts gesammelt, Geheimnisse von 137 exfiltriert und in 12 Organisationen volle Domänen-Admin-Kontrolle erreicht — eine Erinnerung daran, dass ein „Druckserver“ nur der Einstiegspunkt war, nicht das Ziel.
Es lohnt, präzise zu sein, was die KI tat und was nicht. Sie entdeckte keine unbekannte Schwachstelle und umging keinen Patch; die Lücken waren öffentlich und ein Fix existierte binnen 24 Stunden. Was die Agenten lieferten, waren Durchsatz und Tempo: die Fähigkeit, ein öffentliches Advisory in eine massenhaft ausgerollte Waffe zu verwandeln und die Verzögerung zwischen „Patch verfügbar“ und „Patch angewandt“ über tausende Organisationen gleichzeitig auszunutzen. Der Angreifer führte sogar eine Ausschlussliste von rund 28 Ländern — darunter Russland, China, Iran und Venezuela —, die Art von Targeting-Logik, die Agenten-Tooling im großen Maßstab trivial durchsetzbar macht.
Was das für Software-Teams im DACH-Raum bedeutet
Erstens: Das Patch-Fenster misst sich jetzt in Stunden. Das alte Denkmodell — ein kritisches CVE landet, man triagiert es diese Woche und patcht es im nächsten Wartungsfenster — unterstellte einen menschlichen Angreifer, der ebenfalls Tage brauchte, um einen zuverlässigen Exploit zu bauen. Diese Annahme ist tot. Wenn ein frisches Advisory innerhalb eines Morgens bewaffnet und massenhaft ausgerollt werden kann, wird Ihre Exposition davon bestimmt, wie schnell Sie das betroffene Asset finden und patchen — nicht davon, wie schwerwiegend das CVE auf dem Papier aussieht. Schnelle Asset-Inventur und Disziplin bei Notfall-Changes sind heute Frontline-Sicherheitskontrollen, keine IT-Hygiene.
Zweitens: Ihre langweiligen internen Tools sind das Ziel. Niemand modelliert Bedrohungen für den Druckserver, das Wiki, den Lizenzmanager oder den selbstgehosteten CI-Runner — doch genau diese Systeme sitzen in vertrauenswürdigen Netzen, laufen mit weitreichenden Rechten und werden selten auf derselben Taktung gepatcht wie kundennahe Apps. PaperCut war ein Brückenkopf, der in einem Dutzend Organisationen zum Domänen-Admin führte. Behandeln Sie administrative und Infrastruktur-Software als produktionskritische Angriffsfläche, halten Sie sie aus nicht vertrauenswürdigen Netzen heraus und nehmen Sie sie in den Testumfang auf.
Drittens: Verteidiger müssen dasselbe Tooling übernehmen. Wenn Angreifer mit Agenten Exploits binnen Stunden über Ihren gesamten externen Footprint validieren, können jährliche Punkt-in-Zeit-Pentests und manuelle Patch-Triage nicht mithalten. Die realistische Antwort ist Automatisierung auch auf der Verteidigungsseite: kontinuierliche Exposure-Erkennung, realitätsnahe Tests, die Ausnutzung im Maschinentempo unterstellen, und KI-gestützte Triage, die priorisiert, was zuerst zu patchen ist. Für Teams im DACH-Raum verschärft das auch die regulatorischen Erwartungen — NIS2 (national umgesetzt) und für Finanzunternehmen DORA setzen schnelle Detektion, Patching und Incident Response voraus, und „wir konnten nicht schnell genug patchen“ ist keine Verteidigung, die eine Aufsichtsbehörde akzeptiert, wenn die Ausnutzungs-Zeitleiste öffentlich ist.
Was jetzt zu tun ist
- PaperCut NG/MF sofort patchen. Wenn Sie es betreiben, wechseln Sie ohne Warten auf ein Wartungsfenster auf eine Version, die CVE-2026-81578 und CVE-2026-82078 behebt — und stellen Sie sicher, dass der Server nicht aus nicht vertrauenswürdigen Netzen erreichbar ist.
- Bei exponierten Instanzen Kompromittierung annehmen. Jede aus dem Internet erreichbare PaperCut-Instanz, die zwischen dem 27. August und Ihrem Upgrade ungepatcht war, sollte als kompromittiert gelten: Suchen Sie nach Credential-Dumping, neuen Konten und Domänen-Admin-Eskalation, nicht nur nach dem fehlenden Patch.
- Das Patch-Fenster überall verkleinern. Bauen Sie die Fähigkeit auf, betroffene Assets zu inventarisieren und Notfall-Patches in Stunden auszuliefern. Messen Sie Ihre reale mittlere Zeit bis zum Patch für ein kritisches CVE und senken Sie sie — diese Zahl ist heute Ihr Risiko.
- Infrastruktur-Tools aus standardmäßig vertrauenswürdigen Netzen holen. Druckserver, Lizenzmanager, Wikis, selbstgehostete CI und Admin-Panels sollten segmentiert, hinter einem VPN oder Zero-Trust-Proxy und least-privileged sein — nicht flach vernetzt, weil „sie ja intern sind“.
- So testen, wie Angreifer heute angreifen. Nehmen Sie administrative und Infrastruktursysteme in den Umfang auf und führen Sie automatisierungsgetriebene, realitätsnahe Penetrationstests durch, die Ausnutzung im Maschinentempo modellieren — nicht eine ruhige Woche manuellen Herantastens.
Häufig gestellte Fragen
Was ist beim PaperCut-Angriff mit KI-Agenten passiert?
Ein einzelner russischsprachiger Angreifer nutzte hunderte KI-Agenten — aufgebaut um das Codex-Harness von OpenAI und ein DeepSeek-Modell plus Standard-Offensivtools wie Mimikatz, SharpHound, Certipy, Rubeus und Impacket —, um Exploits für zwei PaperCut-NG/MF-Zero-Days zu recherchieren, zu bauen, zu testen und auszurollen. Von Blackpoint Cyber, GreyNoise und Arctic Wolf Anfang September 2026 gemeldet, kompromittierte die Kampagne über 440 Server von 395 Organisationen in 48 Ländern.
Welche PaperCut-Schwachstellen wurden ausgenutzt?
Zwei Lücken in PaperCut NG/MF: CVE-2026-81578, eine Authentifizierungsumgehung, und CVE-2026-82078, eine Remote-Code-Execution-Lücke. Verkettet ermöglichen sie einem nicht authentifizierten Angreifer die Übernahme des Servers. Beide wurden am 27. August 2026 als Zero-Days offengelegt, ein Notfall-Patch folgte am nächsten Tag. Jede ungepatchte, aus dem Internet erreichbare Instanz sollte als exponiert gelten und jetzt gepatcht werden.
Wie schnell war der Angriff?
Die Schwachstellenforschung begann Berichten zufolge um den 31. August 2026 und wurde binnen Stunden zu einem funktionierenden Multi-Thread-Validierungstool, mit erster Kompromittierung in unter vier Stunden. Nach dem Start wurden 11 Organisationen innerhalb von 26 Sekunden kompromittiert, und eine weiterführende Schule gelangte vom Zugriff zum Domänen-Administrator in sieben Minuten. Der Kollaps des Fensters von Offenlegung zu Ausnutzung von Wochen auf Stunden ist das prägende Merkmal KI-orchestrierter Angriffe.
Wie wirkte sich der Angriff auf die Opfer aus?
Von den über 440 kompromittierten Installationen lagen 204 im Bildungssektor, dazu Dutzende in Handel und Professional Services, Immobilien und Gastgewerbe, IT und Managed Services, Non-Profits, Bibliotheken sowie Fertigung und Versorgung. Der Angreifer sammelte Zugangsdaten von rund 280 Hosts, exfiltrierte Geheimnisse von 137 und erreichte in 12 Organisationen Domänen-Admin — volle Kontrolle über die Windows-Umgebung des Opfers, nicht nur über den Druckserver.
Hat die KI eine neue Schwachstelle gefunden?
Nein. Die Lücken waren bereits öffentlich und ein Patch existierte binnen 24 Stunden. Die KI-Agenten lieferten Durchsatz und Tempo — sie verwandelten ein öffentliches Advisory in einen massenhaft ausgerollten Exploit und nutzten die Lücke zwischen „Patch verfügbar“ und „Patch angewandt“ über tausende Organisationen zugleich. Deshalb ist die primäre Verteidigung schnelleres Patchen und Netzsegmentierung, keine neuartige technische Kontrolle.
Quellen
The Hacker News — PaperCut Attacker Uses Hundreds of AI Agents to Compromise 440+ Instances
SecurityWeek — PaperCut Flaws Exploited in AI-Powered Attacks