印刷管理ソフト「PaperCut」全バージョンに影響するゼロデイ脆弱性が悪用、緊急パッチがリリース

要点

• 印刷管理ソフトウェア「PaperCut NG」および「PaperCut MF」の全バージョンに影響する脆弱性が、ゼロデイ攻撃で悪用されていることが判明した。

• 開発元のPaperCutは顧客環境での被害を確認し、バージョン25および26向けに緊急修正パッチを公開した。

• ログファイルの消失や「pc-app.exe」による不審な動作など、侵入の兆候を示す複数の侵害指標（IoC）が公表された。

• 脆弱性の仕組みや攻撃者の詳細は未公表だが、同社は外部からの管理画面アクセスを直ちに制限するよう求めている。

• 同製品では2023年にも重大な脆弱性が悪用され、ランサムウェア被害が広がった経緯がある。

• 印刷管理ソフトウェアの大手であるPaperCutは2026年8月、同社の主力製品「PaperCut NG」および「PaperCut MF」のすべてのバージョンに影響を与える未知の脆弱性が、実際のサイバー攻撃において悪用されていることを明らかにした。同社は既に顧客環境において侵害インシデントが発生している事実を認めており、事態を最優先事項として対処するとともに、修正用の緊急パッチの適用とネットワーク制限を強く呼びかけている。

全バージョンに影響するゼロデイ攻撃と緊急パッチの提供

今回の問題は、修正プログラムが提供される前に攻撃へ悪用される「ゼロデイ攻撃」として確認された。影響を受ける対象は特定の古いバージョンにとどまらず、現在展開されているPaperCut NGおよびPaperCut MFの全バージョンに及んでいる。

PaperCutは事態の深刻さを受け、バージョン25（v25）およびバージョン26（v26）を対象とした緊急パッチをリリースした。同社は「確認された顧客インシデントを認識しており、本件を最優先事項として扱っている」と説明しており、侵害の経緯や影響範囲について現在も調査を継続しているという。

特定された侵害指標（IoC）とサーバーログの異常

PaperCutは利用者が自組織の侵害状況を確認できるよう、侵入の痕跡を示す複数の侵害指標（IoC：Indicators of Compromise）を公表した。

公表された情報によると、まず侵入検知システムやエンドポイントセキュリティ、ネットワーク監視ツールにおいて、PaperCut Application Serverに関する警告が発せられていないかを確認する必要がある。特に、実行ファイル「pc-app.exe」に関連した、攻撃成功後とみられる不審なアクティビティが検知されているケースがあるという。

さらに、サーバー側のログ管理に関しても明らかな異常が確認されている。PaperCutの動作ログである「server.log」ファイルが消失していたり、予期せず途中で切り詰められていたり、意図せず削除されている事例が報告されている。

また、同ログファイル内に以下の特定のエラーメッセージが記録されている場合も、侵害を受けた可能性が高いとされている。

• ERROR No suitable driver found for jdbc:no:x
• ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST

利用者はこれらの兆候が見られないか、速やかにシステムのログや監視アラートを精査することが求められる。

脆弱性の詳細は非公開、求められる緊急のアクセス遮断

現時点において、この脆弱性がどのような構造的欠陥によるものなのか、具体的にどのような手順で攻撃が行われているのか、また攻撃の背後にどのような脅威アクターが関与しているのかといった詳細は明らかにされていない。

そのためPaperCutは、修正パッチの適用に加え、インターネット上に公開されているPaperCut NGおよびPaperCut MFのアプリケーションサーバーに対する厳格なアクセス制御を直ちに実施するよう強く促している。

同社は「ファイアウォールルールやネットワークアクセスコントロール、またはこれらと同等の手段を用いて、PaperCutサーバーのWebインターフェースに対して信頼できないインターネットアドレスからアクセスできないようにしてほしい」と説明している。さらに「不審な活動が確認されていない場合であっても、今すぐこの対策を実施してほしい」と強調しており、事前の予防措置として外部公開を遮断することの重要性を訴えている。

過去に発生したランサムウェア悪用事例との共通点

PaperCutの製品を巡っては、過去にも深刻な脆弱性が標的となった事例が存在する。2023年には、PaperCut MFおよびNGにおいて深刻度を示す共通脆弱性評価システム（CVSS）のスコアが「9.8」と極めて高い重大な脆弱性（CVE-2023-27350）が発覚した。この脆弱性はロシア系の脅威アクターや、金銭目的で活動するサイバー攻撃グループ「Lace Tempest」によって悪用され、「Cl0p」や「LockBit」といった著名なランサムウェアの感染拡大に利用された経緯がある。