PaperCut NG/MFでゼロデイ攻撃を確認　CVE-2026-82078/81578を公表、緊急パッチ第2版を公開

PaperCutは2026年8月27日、印刷管理ソフトウェア「PaperCut NG」「PaperCut MF」に影響する脆弱性が実際のサイバー攻撃に悪用されているとして、緊急セキュリティアドバイザリを公開しました。

その後の調査で、認証回避の脆弱性「CVE-2026-81578」と、任意のJavaバイトコード実行につながる「CVE-2026-82078」の2件を公表しています。CVSS v4.0はそれぞれ8.8（High）と9.4（Critical）です。

PaperCutは顧客環境での攻撃を確認しており、インターネットからPaperCut Application Serverへアクセスできる環境に対して、Webインターフェースを信頼できるIPアドレスのみに制限するよう緊急対応を求めています。

8月28日には、当初の緊急パッチをさらに強化した「Emergency Patch Release 2」を公開しました。PaperCutは、初回パッチを適用済みの顧客にもRelease 2への更新を推奨しています。

PaperCut NG/MFゼロデイ脆弱性のサマリー

• 確認済み：PaperCutはPaperCut NG/MFに影響する脆弱性の悪用と顧客インシデントを確認しています。
• 確認済み：影響対象はPaperCut NGとPaperCut MFの全バージョンです。
• 確認済み：CVE-2026-81578はWeb管理インターフェースの認証回避で、CVSS v4.0は8.8（High）です。
• 確認済み：CVE-2026-82078はデータベース接続機能における安全でない動的クラス読み込みで、CVSS v4.0は9.4（Critical）です。
• 確認済み：PaperCutは2件を緩和するEmergency Patch Release 2を公開しました。
• 確認済み：Release 2はPaperCut NG/MF v24、v25、v26向けに提供されています。
• 確認済み：v23以前の利用者には、最新版へのアップグレードが推奨されています。
• 確認済み：Site Server、Secondary Server、Print Serverも修正版への更新が必要です。
• 確認済み：Print DeployとMobility Printは今回の脆弱性の影響を受けません。
• 確認済み：PaperCutは、インターネットから到達できるWebインターフェースを信頼できるIPアドレスのみに制限するよう求めています。
• 確認済み：pc-app.exeに関連する不審な挙動や、server.logの欠損・削除などが侵害兆候として案内されています。
• 未確認：攻撃者の帰属、侵害後の具体的な目的、情報窃取の有無はPaperCutから公表されていません。
• CISA KEV：本稿執筆時点で公式カタログへの掲載を確認できませんでした。
• PoC：一次情報では公開PoCの有無を確認できませんでした。

項目	内容
公表日	2026年8月27日
対象製品	PaperCut NG、PaperCut MF
影響バージョン	全バージョン
CVE	CVE-2026-82078、CVE-2026-81578
CVSS	9.4（Critical）、8.8（High）
悪用確認	あり。PaperCutが顧客インシデントを確認
修正	Emergency Patch Release 2
Release 2対象	v24、v25、v26
v23以前	最新版へのアップグレードを推奨
暫定対策	Webインターフェースを信頼できるIPアドレスのみに制限
IOC・調査ポイント	pc-app.exeの不審な挙動、server.logの欠損・削除、特定エラー
CISA KEV	本稿執筆時点で掲載を確認できず
攻撃者	確認できませんでした
情報窃取	確認できませんでした

PaperCutが顧客環境でゼロデイ悪用を確認

PaperCutは8月27日の緊急アドバイザリで、PaperCut NGとPaperCut MFに影響する脆弱性が実際の攻撃で悪用されていると公表しました。

同社は「confirmed customer incidents」を把握しているとしており、単なる脆弱性の理論上の問題ではなく、顧客環境で侵害が発生していることを確認しています。

調査のきっかけとなったのは、大学の顧客と、その顧客を支援するデジタルフォレンジック・インシデント対応チームから提供された情報でした。PaperCutのセキュリティチームは、提供された情報を基にPaperCut NG/MF上で脆弱性を再現したと説明しています。

当初は攻撃継続中であることからCVE番号や詳細な技術情報を公開していませんでしたが、その後の調査で2件のCVEを公表しました。

このため、本件は修正プログラムが提供される前から攻撃で悪用されていた「ゼロデイ」として扱うことができます。

CVE-2026-81578は認証なしで管理機能へ到達する脆弱性

CVE-2026-81578は、PaperCut NG/MFのWeb管理インターフェースに存在する認証回避の脆弱性です。

PaperCutによると、特定の条件下で認証されていないリモートからのリクエストが、アクセス検証の完了前に管理機能のバックエンド処理を実行できる問題があります。

これにより、認証されていないリモート攻撃者が一部のシステム設定を変更できる可能性があります。

CWEはCWE-306（Missing Authentication for Critical Function）として整理され、CVSS v4.0は8.8（High）です。

攻撃経路はネットワーク経由で、攻撃に事前の認証やユーザー操作を必要としない点が重要です。

CVE-2026-82078は任意のJavaバイトコード実行につながるCritical脆弱性

CVE-2026-82078は、PaperCut NG/MFのデータベース接続ユーティリティに存在する、安全でない動的クラス読み込みの脆弱性です。

PaperCutによると、アプリケーションがデータベースドライバー名を基にクラスを読み込む際、許可されたドライバーのリストで十分に検証していませんでした。

攻撃者がシステム設定パラメーターを操作できる場合、PaperCutサーバープロセスのセキュリティコンテキストで、アプリケーションのクラスパス上にある任意のJavaバイトコードを実行できる可能性があります。

CWEはCWE-470（Use of Externally-Controlled Input to Select Classes or Code）で、CVSS v4.0は9.4（Critical）です。

この脆弱性単体のCVSSベクトルでは高い権限が必要と評価されていますが、同時に存在する認証回避のCVE-2026-81578と組み合わされることで、認証なしの攻撃へ発展し得ることを複数のセキュリティ研究者が分析しています。

本稿では悪用可能な具体的なリクエストや攻撃手順は掲載しません。

影響対象はPaperCut NG/MFの全バージョン

PaperCutの公式アドバイザリでは、今回の脆弱性についてPaperCut NGとPaperCut MFの「全バージョン」が影響対象とされています。

8月28日には、PaperCut NG/MF v24、v25、v26向けにEmergency Patch Release 2が提供されました。

PaperCutは、初回のEmergency Patchをすでに適用している顧客に対しても、Release 2をインストールするよう推奨しています。

Release 2は、PaperCutの内部セキュリティチームに加え、HuntressとwatchTowrによる追加分析を踏まえて、初回パッチよりも防御を強化したものです。

一方、PaperCut NG/MF v23以前については、個別の緊急パッチを待つのではなく、最新版へアップグレードすることが推奨されています。

なお、8月30日時点でPaperCutは、Release 2を通常のリリースプロセスを経た正式版ではなく「緊急パッチ」と位置付けています。正式リリースに向けた開発作業は継続中です。

Site ServerやSecondary Serverも更新が必要

修正対象は、主要なApplication Serverだけではありません。

PaperCutはSite ServerやSecondary Server、Print Serverについても、修正版へ更新するよう案内しています。

一方、Print DeployとMobility Printは異なるアーキテクチャで動作しており、今回の脆弱性の影響を受けないとしています。

PaperCutを利用している企業では、「Application Serverだけ更新すれば完了」とせず、環境内に存在するPaperCut関連コンポーネントを棚卸しし、修正対象と非対象を切り分ける必要があります。

インターネット公開サーバーはアクセスを即時制限

PaperCutが最優先で求めている対策は、PaperCut NG/MF Application ServerのWebインターフェースをインターネットへ公開しないことです。

外部公開が必要な環境でも、ファイアウォール、ネットワークアクセス制御などを利用し、信頼できるIPアドレスだけがWebインターフェースへ到達できるよう制限することを求めています。

この対応は、不審な挙動を確認していない環境でも実施するよう案内されています。

特に今回のCVE-2026-81578はネットワーク経由かつ認証不要で悪用できるため、インターネットから管理インターフェースへ直接到達できる構成は優先的に見直す必要があります。

PaperCutが公開した侵害兆候

PaperCutは、侵害調査で確認すべき兆候として複数の項目を公開しています。

主な確認ポイントは次の通りです。

• PaperCut Application Serverに関連するIDS、EDR、ネットワーク監視製品のアラート
• 正規プロセスpc-app.exeに関連する不審な侵害後活動
• server.logが存在しない、予期せず短くなっている、削除されている
• server.logにNo suitable driver found for jdbc:no:xを含むエラーが記録されている
• server.logにCard/ID検索関連の特定データベースエラーが記録されている

ただし、PaperCutはこれらの兆候が見つからないことを「侵害されていない証拠」として扱わないよう注意しています。

現時点では、攻撃で使われたIPアドレスやドメインなど、より具体的なネットワークIOCは十分に公開されていません。

侵害が疑われる場合はサーバーの再構築を推奨

PaperCutは、すでに侵害された可能性があるサーバーについて、単にパッチを適用して運用を継続するのではなく、より強い対応を推奨しています。

具体的には、現在のサーバーバックアップを保全したうえでApplication Serverを完全に消去・再構築し、不審な挙動が確認される前に取得したクリーンなバックアップから復旧する方針です。

あわせて、組織のインシデントレスポンス手順を発動し、標準的なフォレンジック調査や認証情報の確認を実施する必要があります。

PaperCut自身も、各顧客環境の状態までは把握できないため、侵害されたサーバーからどこまで影響が広がったかを一律には判断できないとしています。

攻撃者や情報窃取の有無は未公表

PaperCutは顧客環境での攻撃を確認していますが、現時点で攻撃者の帰属は公表していません。

また、侵害後に攻撃者がどのような目的で活動していたのか、個人情報や印刷データ、認証情報などが実際に窃取されたのかについても確認できる公式情報はありません。

したがって、本件を特定のランサムウェアグループや国家支援型攻撃者によるものと断定することはできません。

PaperCutは2023年にもCVE-2023-27350が複数の攻撃グループに悪用されましたが、過去の事案を根拠に今回の攻撃者を推測するのは適切ではありません。

CISA KEV掲載は現時点で確認できず

今回の2件はPaperCut自身が実際の悪用を確認している脆弱性ですが、本稿執筆時点ではCISA Known Exploited Vulnerabilities（KEV）Catalogへの掲載を確認できませんでした。

「実際に悪用されている脆弱性」と「CISA KEVに掲載された脆弱性」は同義ではありません。

企業では、KEV掲載を待って対応するのではなく、ベンダーが悪用を確認し緊急パッチを公開しているという事実を基に、優先度を引き上げる必要があります。

情報システム部門への示唆

今回のPaperCut事案で最も重要なのは、インターネットへ公開された管理系システムを「パッチが出たら更新する」だけで管理しないことです。

PaperCutは脆弱性の詳細公開前から顧客環境での悪用を確認していました。つまり、CVE番号やスキャンルール、EDRの検知ロジックが整う前に攻撃が始まる可能性があります。

情報システム部門では、PaperCut NG/MFを利用している場合、まずApplication Serverがインターネットから到達可能かを確認し、公開されている場合は信頼できるIPアドレスへアクセス元を制限する必要があります。

次に、PaperCut NG/MFのバージョンとSite Server、Secondary Server、Print Serverを含む構成を棚卸しし、Release 2または最新版へ更新します。

さらに、パッチ適用だけで完了とせず、EDR・IDS・ネットワークログ、PaperCutのserver.logなどを確認し、攻撃がパッチ適用前に発生していなかったかを調査することが重要です。

侵害が疑われる場合は、PaperCutが推奨するサーバー再構築に加え、そのサーバーがアクセスできた認証情報、ファイル共有、Active Directory、クラウド環境なども含めて二次侵害の有無を確認する必要があります。

また、今回のような管理系Webアプリケーションは、プリント管理という用途から「重要な外部公開システム」と認識されにくい場合があります。ASMや外部公開資産管理を通じて、インターネットから到達可能な管理画面を継続的に把握し、本来公開する必要のないものを閉じる運用が重要です。

出典

• URGENT Security Advisory: PaperCut NG/MF Security Bulletin (27 Aug 2026) – PaperCut
• PaperCut Security Vulnerability Log – PaperCut
• PaperCut NG/MF Critical Zero-Day Exploited in the Wild – Rapid7