PaperCutの2つの脆弱性を連鎖させた未認証コード実行攻撃が確認される

要点

• 印刷管理ソフト「PaperCut NG」「PaperCut MF」において、2件の脆弱性を組み合わせた未認証リモートコード実行攻撃が確認された。

• 悪用されているのは、Web管理画面のアクセス制御不備（CVE-2026-81578）と、安全でない動的クラス読み込み（CVE-2026-82078）である。

• セキュリティ企業Huntressの調査では、侵入後に端末情報を収集し、ログを削除して痕跡を消すJavaプログラムの実行が観測された。

• 開発元は追加の堅牢化を含む緊急パッチを公開したが、セキュリティ企業watchTowrは最新版にも有効な回避手法の存在を指摘している。

• 影響を受けるシステムを運用する組織に対し、迅速なパッチ適用とともに、インターネット公開の停止やVPN経由への制限が推奨されている。

• 印刷管理ソフトウェア「PaperCut NG」および「PaperCut MF」において、新たに修正されたセキュリティ上の欠陥を悪用し、認証を経ずに任意のコードを実行する攻撃が行われていることが明らかになった。セキュリティ企業HuntressやwatchTowrの報告を受け、海外テックメディアのThe Hacker Newsが2026年8月28日に報じた。開発元の豪PaperCut社は堅牢化を強化した2度目の緊急パッチをリリースしているが、実環境での悪用がすでに確認されている。

2つの脆弱性を連鎖させて認証を突破する仕組み

今回の攻撃で悪用されているのは、PaperCut社が公開した以下の2件の脆弱性である。

1つ目は、Web管理インターフェースにおけるアクセス制御の不備である「CVE-2026-81578」（CVSSスコア: 8.8）だ。特定の条件下において、管理者機能を狙った未認証のリモートリクエストが、アクセス権の検証完了前にバックエンドの処理を実行させてしまう欠陥を持つ。

2つ目は、データベース接続ユーティリティに存在する「CVE-2026-82078」（CVSSスコア: 9.4）である。プログラム実行時に外部クラスを読み込む動的クラスローディング（実行時に必要な部品をメモリに読み込む仕組み）が安全に行われない脆弱性だ。承認済みドライバのホワイトリスト検証を行わず、設定可能なドライバ名に基づいてクラスをインスタンス化してしまう。

セキュリティ企業watchTowrの脅威インテリジェンス責任者ジェイク・ノット（Jake Knott）氏は、攻撃者がこれら2つを連鎖させていると説明する。CVE-2026-81578で認証を回避し、そこから設定ファイルを編集してCVE-2026-82078を悪用することで、リモートからのコード実行に至るという。また、Huntressの研究者ジョン・ハモンド（John Hammond）氏とアンドリュー・ブラント（Andrew Brandt）氏も、細工されたリクエストにより認可チェックをすり抜け、サーバー設定を変更して任意のJavaコードが実行される状態になると指摘している。

観測された偵察活動と証拠隠滅の手順

Huntressは、自社の顧客環境2件で限定的な悪用を観測した。攻撃者は初期侵入後の活動として、サーバー上でBase64エンコードされたコマンドを実行していた。

実行されたコマンドは「whoami & ver」で、侵害端末のユーザーアカウントやOS情報を特定する挙動を見せていた。さらに2026年8月27日に確認された別の事例では、「whoami & ver & tasklist」とコマンドが変更され、実行中のプロセス一覧の取得も試みられていた。Huntressのシニアプリンシパルセキュリティ研究者ジョン・ハモンド氏は、「攻撃者の最終目的を断定する証拠はまだない」としつつ、観測された活動は初期段階の偵察や検証と一致していると述べている。

また攻撃では、LinuxとWindowsの双方で動作するJavaの .class ファイル（コンパイル済みの実行ファイル）も投入されていた。このファイルはマシンの環境情報を識別してファイル一覧を取得し、インストール先配下の「/data/content/Udydn.out」に書き出していた。情報収集が完了すると、自身が作成したファイルに加え、サーバーの「server.log」および「/data/internal/derby.log」を削除して痕跡を消去していた。

パッチの提供状況と新たな回避リスク

開発元のPaperCut社は、「当初の緊急パッチを超えた追加の堅牢化」を含む2度目の緊急パッチを公開した。同社は脆弱性を悪用した攻撃活動の具体的な性質については詳細を明かしていない。

一方、watchTowrは複数のパッチ回避手法や追加の認証回避の脆弱性を発見したと発表した。一部の回避手法は2度目の緊急パッチで対処されたものの、最新版に対しても有効な新たな回避手法が特定されているという。

推奨される緊急対策

The Hacker Newsは、PaperCut NGおよびMFを運用する組織に対し、インターネットへの直接公開を直ちに取りやめ、速やかにパッチを適用するよう呼びかけている。あわせて、管理サーバーのWebアクセスを信頼できるIPアドレスのみに制限するか、VPNなどの管理された通信経路の背後に配置することが推奨されている。