PaperCutのゼロデイ 脆弱性、CISAがCVE-2026-81578/82078をKEV追加　Huntressが認証前RCEを再現

PaperCut NG/MFで実際の攻撃に悪用されているCVE-2026-81578とCVE-2026-82078について、米CISAは2026年8月31日、2件をKnown Exploited Vulnerabilities（KEV）カタログへ追加しました。

セキュリティ対策Labでは8月31日、「PaperCut NG/MFでゼロデイ攻撃を確認　CVE-2026-82078/81578を公表、緊急パッチ第2版を公開」として第一報を掲載しました。同記事の執筆時点ではKEVへの掲載を確認できませんでしたが、その後CISAが追加したため、状況が更新されています。

また、セキュリティ企業Huntressは、2件の脆弱性を連鎖させることで認証前のリモートコード実行（RCE）が成立することを再現したと公表しました。Huntressの顧客環境では8月26日と27日に実悪用が確認されており、PaperCut側も侵害後にSimpleHelp系のリモートアクセスサービスが導入され、AnyDeskがダウンロードされた事例を追加で明らかにしています。

PaperCutゼロデイ続報のサマリー

• 確認済み：CISAは2026年8月31日、CVE-2026-81578とCVE-2026-82078をKEVカタログへ追加しました。
• 確認済み：CVE-2026-81578は認証されていないリモート攻撃者が一部システム設定を変更できる脆弱性です。
• 確認済み：CVE-2026-82078は、条件を満たすとPaperCutサーバープロセスの権限で任意のJavaバイトコード実行につながる脆弱性です。
• 確認済み：Huntressは2件を連鎖させ、認証前のRCEが成立することを再現しています。
• 確認済み：Huntressは顧客環境2件で実悪用を観測しており、最初の事例は8月26日です。
• 確認済み：Huntressが8月26日に観測した攻撃の活動時間は2分未満でした。
• 確認済み：PaperCutは侵害後の活動として、システム情報の調査、SimpleHelp系リモートアクセスサービスの導入、AnyDeskのダウンロードなどを確認しています。
• 確認済み：PaperCutはserver.logの削除や不審なJavaクラスファイルなど、追加の侵害兆候を公開しています。
• 確認済み：PaperCutはv24、v25、v26向けにEmergency Patch Release 2を公開しており、初回の緊急パッチ適用済み環境にもRelease 2への更新を推奨しています。
• 確認済み：2026年8月31日時点で、PaperCutは通常のリリース工程を経た正式版の提供に向けた作業を継続しています。
• 未確認：攻撃者の帰属は公表されていません。
• 未確認：PaperCutやHuntressが確認した侵害環境で、個人情報や印刷データなどの情報窃取が行われたとの公式確認はありません。

項目	内容
続報確認日	2026年8月31日～9月1日
対象製品	PaperCut NG、PaperCut MF
CVE	CVE-2026-81578、CVE-2026-82078
CVSS v4.0	8.8（High）、9.4（Critical）
実悪用	PaperCut、Huntressが確認
攻撃チェーン	2件を連鎖させることで認証前RCEが成立するとHuntressが再現
Huntressの観測	顧客環境2件。8月26日、27日に実悪用を確認
PoC	Huntressが動作するPoCを再現
CISA KEV	2件とも2026年8月31日に追加
パッチ	Emergency Patch Release 2
主な追加IOC	server.logの欠損・削除、不審なJavaクラスファイル、pc-app.exeからの不審な子プロセスなど
侵害後活動	システム調査、SimpleHelp系リモートアクセスサービスの導入、AnyDeskのダウンロードなど
攻撃者	確認できませんでした
情報窃取	確認できませんでした

CISAが2件をKEVへ追加、既報から状況が更新

CISAは8月31日、PaperCut NG/MFのCVE-2026-81578とCVE-2026-82078をKEVカタログへ追加しました。

KEVは、CISAが実際の攻撃での悪用を確認した脆弱性を登録するカタログです。PaperCut自身は8月27日の段階ですでに顧客環境で攻撃が発生していると公表していましたが、CISAのKEVへの追加はその後となりました。

セキュリティ対策Labが8月31日に公開した第一報では、執筆時点で両CVEのKEV掲載を確認できなかったため、「CISA KEV：本稿執筆時点で公式カタログへの掲載を確認できませんでした」と記載していました。

その後、同日中にCISAが2件を追加したため、現時点では両CVEともKEV掲載済みです。

既報：
PaperCut NG/MFでゼロデイ攻撃を確認　CVE-2026-82078/81578を公表、緊急パッチ第2版を公開

Huntressが2件の脆弱性を連鎖した認証前RCEを再現

今回の続報で重要なのは、CVE-2026-81578とCVE-2026-82078がどのように組み合わされるかが、Huntressの調査によって明確になった点です。

CVE-2026-81578はPaperCut NG/MFのWeb管理インターフェースに存在する認証関連の脆弱性です。PaperCutによると、特定条件下で認証されていないリモートからのリクエストにより、一部のシステム設定を変更できる可能性があります。

CVE-2026-82078はデータベース接続機能における安全でない動的クラスロードの脆弱性で、攻撃者がシステム設定を操作できる場合、PaperCutサーバープロセスのセキュリティコンテキストで任意のJavaバイトコードを実行できる可能性があります。

CVE-2026-82078単体では高い権限が必要と評価されていますが、HuntressはCVE-2026-81578による設定変更と組み合わせることで、認証を必要としない完全なRCEチェーンになることを再現しました。

Huntressは未修正のPaperCut NG環境を使用し、認証前のリモート設定変更からコード実行まで成立するPoCを再現したとしています。

本記事では防御目的の情報に限定し、具体的な攻撃リクエストやPoCコード、再現手順は記載しません。

Huntressは8月26日と27日に実悪用を確認

Huntressは8月27日の公表時点で、顧客環境において2件の実悪用を確認していました。

8月26日に観測した事例では、攻撃活動は2分未満だったとしています。侵害されたPaperCutサーバーでは、ユーザーアカウントやOSのバージョンなど、システム情報を確認する活動が記録されていました。

翌27日に確認した別の事例では、アカウント名やOS情報に加え、実行中のプロセスを調査する活動も確認されています。この環境ではPaperCut MF 24.1.5.71847が稼働しており、Emergency Patch Release 2が公開される前に攻撃を受けていました。

Huntressは、攻撃に使われたJavaクラスファイルがコマンド実行後に生成ファイルを削除し、PaperCutのserver.logも削除する挙動を確認しています。

このため、ログが残っていないことだけを根拠に「侵害されていない」と判断することはできません。

PaperCut、SimpleHelp導入やAnyDeskダウンロードなど侵害後活動を追加公表

PaperCutは8月30日、公式セキュリティアドバイザリを更新し、追加の侵害兆候と侵害後活動を公開しました。

PaperCutによると、実際の攻撃では正規プロセスpc-app.exeまたはpc-appから子プロセスとしてコマンドシェルが起動し、システム情報を調査する活動が確認されています。

さらに、攻撃が途中で阻止されなかった事例では、SimpleHelp系のリモートアクセスエージェントがWindowsサービスとして登録され、その後AnyDeskの実行ファイルがダウンロードされる一連の活動も確認されました。

PaperCutは、意図しないSimpleHelp関連サービスやAnyDeskが存在していないかを侵害調査の確認ポイントとして挙げています。

ただし、こうした活動がすべての侵害環境で行われたわけではありません。PaperCutも顧客ごとに環境が異なり、侵害後の活動に単一のパターンを当てはめることは難しいと説明しています。

また、現時点で攻撃者の帰属や、情報窃取が実際に行われたとの公式確認はありません。リモートアクセスツールが導入された事実だけをもって、情報流出やランサムウェア被害まで発生したと断定することはできません。

server.log削除など追加IOCを公表

PaperCutが追加した主な確認ポイントには、server.log内の不審なデータベース接続関連の記録や、通常存在しないJavaクラスファイルなどがあります。

また、攻撃活動の進行に伴い、不審なファイルやログ自体が削除されるケースも確認されています。

PaperCutは、IOCが存在しないことは侵害されていないことの証明にはならないと注意しています。

PaperCutをインターネットへ公開していた組織では、PaperCut内部のログだけで調査を完結させず、EDR、IDS、ファイアウォール、WAF、リバースプロキシ、DNS、ネットワークフローなどのログも併せて確認する必要があります。

Emergency Patch Release 2を引き続き推奨

PaperCutはv24、v25、v26向けにEmergency Patch Release 2を提供しています。

Release 2は、最初に公開された緊急パッチへ追加のハードニングを加えたもので、PaperCutは初回の緊急パッチを適用済みの顧客にもRelease 2への更新を求めています。

一方、8月31日16時21分（AEST）の更新では新たな情報はなく、PaperCutのエンジニアリングチームが通常のリリース工程を経た正式版の提供に向けた作業を継続していると説明しています。

現在配布されているRelease 2は通常の正式リリースではなく、外部公開されたPaperCutサーバーなどを早急に保護するための緊急パッチという位置付けです。

パッチ適用までの間も、PaperCutはApplication ServerのWebインターフェースを信頼できるIPアドレスだけからアクセスできるよう制限することを求めています。

情報システム部門への示唆

今回の続報によって、対応の優先度はさらに明確になりました。

第一報の時点でもPaperCut自身が実悪用を確認していましたが、その後CISAが2件をKEVへ追加し、Huntressは認証前RCEチェーンを再現しています。さらに、実環境ではシステム情報の調査だけでなく、リモートアクセスツールの展開につながった事例も確認されました。

PaperCut NG/MFを利用している組織では、まずバージョンとインターネット公開状況を確認し、v24、v25、v26ではEmergency Patch Release 2を適用する必要があります。初回の緊急パッチを適用済みの場合もRelease 2への更新対象です。

特に重要なのは、パッチ適用と侵害調査を別の作業として扱うことです。

8月26日にはすでに実悪用が観測されているため、脆弱なPaperCut Application Serverをインターネットへ公開していた場合、現在パッチ済みであっても、更新前に侵害されていなかったかを確認する必要があります。

server.logが削除されるケースも確認されていることから、PaperCutのログだけではなくEDRやネットワーク側のログを含めて調査し、不審な子プロセス、サービス、ファイル生成、外部通信がなかったかを確認すべきです。

SimpleHelpやAnyDeskなど、本来導入していないリモートアクセスソフトウェアが見つかった場合は、単なる脆弱性対応ではなくインシデントとして扱い、サーバーからの横展開や認証情報の悪用がなかったかも調査対象に含める必要があります。

PaperCut自身も、侵害が疑われるApplication Serverについてはバックアップを保全したうえでサーバーを消去・再構築し、安全なバックアップから復旧する方針を推奨しています。

出典

• URGENT Security Advisory: PaperCut NG/MF Security Bulletin (27 Aug 2026) – PaperCut
• PaperCut Zero-Day: Active Exploitation and Pre-Auth RCE – Huntress
• CISA Adds Two Known Exploited Vulnerabilities to Catalog – CISA
• Known Exploited Vulnerabilities Catalog – CISA
• PaperCut NG/MFでゼロデイ攻撃を確認　CVE-2026-82078/81578を公表、緊急パッチ第2版を公開 – セキュリティ対策Lab