教育機関を狙うPaperCutの脆弱性悪用が発覚、認証情報の窃取手口をセキュリティ企業が報告

要点

• 米国および欧州の初等中等学校や大学を対象に、印刷管理ソフトウェア「PaperCut」の脆弱性を悪用したサイバー攻撃が確認された。

• 攻撃者は認証回避とリモートコード実行を組み合わせた2件の脆弱性（CVE-2026-81578およびCVE-2026-82078）を利用してシステムに侵入している。

• 侵害後の活動では特権アカウントの作成や設定ファイルの探索、専用ツールによるレジストリからの認証情報抽出などが行われていた。

• セキュリティ企業のArctic Wolfは、サーバーの外部公開制限や親プロセスに着目したコマンド実行の監視を推奨している。

• 米国および欧州の教育機関において、印刷管理ソフトウェア「PaperCut」の脆弱性を悪用して認証情報を窃取するサイバー攻撃が発生していることが明らかになった。米サイバーセキュリティ企業Arctic Wolfの脅威調査チーム（Adversary Research Team）が攻撃活動を観測・公表し、セキュリティメディアのThe Hacker Newsが2026年9月5日に報じた。被害の対象はK-12（幼稚園から高校までの初等中等教育機関）から主要大学まで幅広く及んでいるという。

悪用された2つの脆弱性と攻撃の概要

発表によると、攻撃者は新たに公開されたPaperCutの2つの脆弱性「CVE-2026-81578」および「CVE-2026-82078」を悪用している。これらは認証回避とリモートコード実行（遠隔から任意の命令を実行させる手法）の欠陥であり、攻撃者はこの2つを連続して組み合わせることでサーバー上での任意のコマンド実行や偵察活動、特権アカウントの作成を行っていた。

Arctic WolfがThe Hacker Newsに語った内容によると、この一連の攻撃活動は脆弱な状態のままインターネットに接続されていたPaperCutサーバーを標的にしており、米国および欧州全域の教育機関に影響が出ていると説明している。

侵入後の偵察とアカウント作成の手口

攻撃者はシステムへの侵入に成功した後、詳細な偵察や環境の把握を目的としたコマンドを複数実行していたことが確認されている。具体的には、システムの種別や稼働状況を確認する「uname」や「ver」、現在の実行ユーザーを確認する「whoami」、実行中のプロセス一覧を取得する「tasklist」などが使用されていた。

さらに攻撃者は、持続的なアクセス権を確保するために「Administrator17」という名前の特権アカウントを勝手に作成していた。あわせて、Windowsの文字列検索コマンドである「findstr」を用い、PaperCutの設定ファイル（拡張子が「.config」のファイル）を網羅的に走査していたことも判明している。この走査では「password」「secret」「ldap」「bind」「token」といったキーワードが指定されており、各種サービスとの連携情報や認証用シークレットの探索が行われていたという。

外部サーバーとの通信と認証情報の抽出手法

攻撃の過程では、外部の不審なIPアドレスとの通信や各種ツールのダウンロードも観測された。

まず、IPアドレス「45.142.193[.]132」からは、Windowsに標準搭載されている証明書管理ツール「certutil.exe」を悪用して、認証情報収集ツールである「lsa_collect.exe」「lsa_collect_small.exe」「save_hives.exe」が被害端末へ送り込まれていた。さらに同IPアドレスからは、侵害されたサーバー上の「/custom/pcp_.txt」や「/custom/web/pcp_.txt」といったファイルに対して外部からGETリクエストが送信されていた。これらのファイルには、攻撃者によって収集されたシステムやユーザーのデータが含まれていたとされる。

また、別のIPアドレス「194.180.48[.]134」に対しては、侵入テストフレームワーク「Metasploit」の遠隔操作モジュールである「Meterpreter」に関連したJavaペイロードが取得され、外部セッションが確立されていた。

Arctic Wolfがサンドボックス（安全に隔離された解析環境）で「lsa_collect.exe」の動作を検証したところ、同ツールは特定のレジストリキーを抽出してシステムの「BootKey」（暗号化キー）を再構築し、Windowsのユーザー認証情報を管理するSAM（Security Account Manager）データベースへのアクセス権を取得する仕組みを持っていたことが確認された。同社は声明の中で、盗み出されたログイン情報がネットワーク内の他の重要システムへ侵入を広げる足がかりになるおそれがあると警告している。

推奨される対策と監視手法

Arctic Wolfは被害の防止および早期検知に向け、運用者に対してPaperCutサーバーがインターネットに直接露出しないようアクセスを制限することを求めている。

また、監視体制の強化として、PaperCutの本体プロセスである「pc-app.exe」を親プロセスとして「cmd.exe」や「powershell.exe」、その他のスクリプト実行ツールやコマンド解釈ツールが起動していないかを監視することを推奨している。あわせて、「whoami」「tasklist」「ver」「uname -a」といった偵察コマンドの実行履歴についても重点的に監視すべきだとしている。