OWN NEWS GATHER
← 戻る
cve

PaperCutの印刷管理ソフト「MF」「NG」に重大な脆弱性、CVSS 9.4でCISAも悪用カタログに追加

要点

  • 印刷管理ソフトウェア「PaperCut MF」および「PaperCut NG」において、任意のJavaバイトコードが実行可能となる重大な脆弱性「CVE-2026-82078」が判明した。
  • データベース接続設定の検証不備に起因する動的クラスロードの問題であり、CVSS 4.0の深刻度スコアは「9.4（CRITICAL）」と評価されている。
  • 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は本脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加し、2026年9月14日までの対策適用を指示した。
  • 影響を受ける対象はバージョン24.1.9未満、25.0.2〜25.0.11、26.0.2〜26.0.3など、複数のバージョン系統に及んでいる。

印刷管理ソフトウェア大手のPaperCutは、同社が提供する「PaperCut MF」および「PaperCut NG」において、任意のJavaバイトコードを実行される恐れがある重大な脆弱性「CVE-2026-82078」が存在することを公表した。米国の脆弱性情報データベース（NVD）の公開情報によると、CVE採番機関（CNA）であるPaperCutによるCVSS 4.0の深刻度スコアは9.4で、最も高い「CRITICAL（緊急）」に分類されている。さらに、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）も本件を悪用が確認された脆弱性として登録し、早期の対処を求めている。

脆弱性の仕組みと発生要因

今回の脆弱性は、PaperCut MFおよびPaperCut NGのデータベース接続ユーティリティ内に存在する「安全でない動的クラスロード」に起因している。動的クラスロードとは、プログラムの実行時に外部の設定値などに基づいてクラスファイルを動的に読み込んで処理する仕組みを指す。

公表された脆弱性情報によると、本アプリケーションは承認済みドライバを定めた許可リスト（ホワイトリスト）との照合を行わずに、設定可能なドライバ名に基づいてデータベースドライバクラスのインスタンス化を実行していたという。脆弱性の共通規格であるCWE（共通弱点タイプ）では、外部制御された入力によるクラスやコードの選択を意味する「CWE-470（Unsafe Reflection）」に分類されている。

このため、攻撃者がシステム構成パラメータを操作できる状態にある場合、PaperCutサーバープロセスのセキュリティ権限において、アプリケーションのクラスパス上に存在する任意のJavaバイトコードを実行することが可能になるという。

深刻度評価とCVSS 4.0の詳細

PaperCutによって算出されたCVSS 4.0の基本評価では、深刻度スコア「9.4」のCRITICALと判定されている。CVSS（共通脆弱性評価システム）は、セキュリティ上の欠陥が持つリスクの重大さを数値化した国際的な指標である。

詳細なメトリクスによると、攻撃元はネットワーク経由（AV:N）で到達可能であり、攻撃の複雑さは低く（AC:L）、特別な攻撃条件も必要とされない（AT:N）。攻撃の実行には高い特権（PR:H）が必要とされるものの、ユーザーによる操作や介入は不要（UI:N）と定義されている。影響度に関しては、脆弱性が存在するシステムにおける機密性（VC:H）、完全性（VI:H）、可用性（VA:H）がいずれも最高レベルの「High」であることに加え、後続の関連システムに対しても機密性（SC:H）、完全性（SI:H）、可用性（SA:H）のすべてにおいて高い影響を及ぼすと評価されている。

なお、NVD自身による独自のアセスメント（評価）は、公開時点ではまだ提供されていない。

影響を受けるソフトウェアと対象バージョン

本脆弱性の影響を受ける構成として、以下のソフトウェアおよびバージョン範囲が明記されている。

  • PaperCut MF
    • バージョン24.1.9未満
    • バージョン25.0.2以上、25.0.12未満
    • バージョン26.0.2以上、26.0.4未満
  • PaperCut NG
    • バージョン24.1.9未満
    • バージョン25.0.2以上、25.0.12未満
    • バージョン26.0.2以降の一部バージョン

組織で稼働している各エディションにおいて、指定されたバージョン範囲に合致しているかどうかの確認が必要な状態となっている。

CISAの悪用カタログ登録と緩和措置

CISAは2026年8月31日付で、本脆弱性を「悪用が確認された脆弱性カタログ（KEV）」へ正式に追加した。KEVカタログは、実際にサイバー攻撃などで悪用が確認されたセキュリティ上の欠陥を管理する公的リストである。

CISAの拘束力のある運用指令に基づき、設定された対応期日（Due Date）は2026年9月14日と指定されている。関係組織に対しては、ベンダーが提示する手順に従った緩和策の適用が義務付けられており、リスクに基づくセキュリティ更新の優先順位付け（BOD 26-04）やフォレンジックトリアージ要件への準拠が求められている。また、緩和策が利用できない環境においては、製品の使用中止を検討するよう指示されている。

公開された参照情報には、PaperCutが2026年8月27日付で公開した緊急セキュリティアドバイザリのほか、ペネトレーションテスト用ツール「Metasploit Framework」のリポジトリにおける関連プルリクエスト（PR #21842）などが含まれている。

元URL