PaperCutは、印刷管理ソフトウェア「PaperCut NG」および「PaperCut MF」に存在し、実際に悪用されている2件の脆弱性に対して、2回目となる緊急セキュリティアップデートをリリースしました。これは、研究者らが最初の修正パッチを回避する複数の方法を発見したことを受けた対応です。
BleepingComputerが昨日報じたように、PaperCutは顧客のサーバーを狙ったゼロデイ攻撃で脆弱性が悪用されていると警告し、PaperCut NG/MFのバージョン25および26向けに最初の緊急パッチをリリースしていました。
しかし当時、同社は攻撃について調査を進めながら顧客に緊急修正を適用する時間を与えるためとして、CVE識別子や脆弱性の技術的詳細を公表していませんでした。
PaperCutは現在、2件の脆弱性について技術的な詳細とCVE識別子を公開しています。それぞれCVE-2026-82078およびCVE-2026-81578として追跡されているこれらの脆弱性は、連鎖的に悪用することで認証をバイパスし、脆弱なサーバー上でコードを実行できます。
CVE-2026-81578は、PaperCut NG/MFのWeb管理インターフェースに影響する深刻度8.8の認証バイパスの脆弱性(重要度: 高)です。
PaperCutが更新した勧告では、「特定の条件下では、管理機能を標的とした未認証のリモートリクエストが、アクセス検証チェックの完了前にバックエンドのアクションをトリガーしてしまう可能性があります」と説明されています。
2つ目の脆弱性であるCVE-2026-82078は、PaperCutのデータベース接続ユーティリティに存在する、深刻度9.4の危険な動的クラスローディングに関する脆弱性(重要度: 緊急)です。
このアプリケーションは、設定可能なドライバー名に基づいてデータベースドライバークラスを読み込みますが、その際に承認済みの許可リストに対する検証を行っていません。
PaperCutは「攻撃者がシステムの設定パラメータを操作できる場合、PaperCutサーバープロセスのセキュリティコンテキスト下で、アプリケーションのクラスパス上に存在する任意のJavaバイトコードを実行できてしまいます」と説明しています。
今回の事案でPaperCutと連携してきたサイバーセキュリティ企業watchTowrは、LinkedInで、これらの脆弱性により未認証の攻撃者が認証をバイパスし、影響を受けるPaperCut NG/MFインスタンス上でリモートコード実行を達成できると述べています。
2回目の緊急パッチをリリース
金曜日、PaperCutは「Emergency Patch Release 2」と呼ばれる更新版の緊急修正をリリースしました。これは、社内のセキュリティチームおよびHuntressとwatchTowrの研究者らによる追加分析を踏まえ、さらなる強化策を盛り込んだものです。
PaperCutは「社内のセキュリティチーム、およびHuntressとwatchTowrを含む社外の研究者らとのさらなる連携を経て、最初の緊急パッチに加えて追加の強化策を含む更新版の緊急パッチ(Release 2)をリリースしました」と述べています。
同社は、すでに最初の緊急パッチを適用済みの顧客に対しても、全顧客にRelease 2の導入を強く呼びかけています。
今回の2回目のリリースは、watchTowrの研究者がこれらの脆弱性を完全に再現し、複数のパッチ回避手法を発見したほか、新たな認証バイパスの脆弱性も特定したと報告したことを受けたものです。
BleepingComputerはHuntressに対し、研究者らが脆弱性を分析する中で何を発見したのか詳しい情報を求めて問い合わせており、回答があり次第記事を更新する予定です。
「Emergency Patch Release 2」は、Windows、Linux、macOS向けのPaperCut NGおよびMFのバージョン24、25、26で利用可能です。バージョン23以前を使用している顧客に対しては、それらのバージョン向けパッチを待つのではなく、最新バージョンへのアップグレードが推奨されています。
PaperCutによれば、サイトサーバーおよび二次的な印刷サーバーについても、パッチ適用済みバージョンへのアップグレードが必要です。一方、Print DeployやMobility Printなどの他のコンポーネントは影響を受けておらず、更新の必要はありません。
パッチが提供されている状況ではありますが、PaperCutは顧客に対し、ファイアウォールのルールやネットワークアクセス制御などの手段を用いて、Webインターフェースへのアクセスを信頼できるIPアドレスに制限するよう強く求めています。
管理者はまた、pc-app.exeプロセスに起因する不審な侵害後の活動、欠落または途中で途切れたserver.logファイル、そしてserver.log内の以下のようなエラーにも注意を払う必要があります。
ERROR No suitable driver found for jdbc:no:x
ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST同社は、この攻撃の背後にいるのが何者なのか、また脅威アクターが脆弱なサーバーを侵害した後にどのような行動を取っているのかについては明らかにしていません。
PaperCutはBleepingComputerに対し、今回の攻撃は限定的かつ標的を絞ったものであるように見えるとし、調査を継続中であるため侵害後の活動に関する詳細は現時点では公表を控えていると説明しました。
PaperCutはBleepingComputerに対し、「攻撃者が侵害後に何を行っているかについての調査は現在も継続中であり、時期尚早な詳細開示は、影響を受けた顧客自身の対応を複雑にしかねません」と述べています。
「現時点で申し上げられるのは次の点です。勧告では、PaperCut Application Serverに関連する侵入検知、エンドポイント、あるいはネットワーク監視のアラートに注意するよう顧客に呼びかけており、侵害指標(IOC)についても検証が済み次第公表していきます」としています。
PaperCutのサーバーは以前にも、2023年に攻撃者が認証バイパスおよびリモートコード実行の脆弱性であるCVE-2023-27350の悪用を開始したことで標的となった経緯があります。
それらの攻撃は最終的に、ClopおよびLockBitのランサムウェア組織、イラン政府系ハッキンググループ、そしてBl00dyランサムウェアギャングを含む、数多くの脅威アクターの関与が確認されました。
