PaperCutは、プリント管理ソフトウェア「PaperCut NG」および「PaperCut MF」に存在し、実際に悪用されている2件の脆弱性について、2回目となる緊急セキュリティアップデートをリリースしました。研究者らが最初の修正を回避する複数の方法を発見したことを受けた対応です。
BleepingComputerが昨日報じたとおり、PaperCutは顧客サーバーに対するゼロデイ攻撃でハッカーが脆弱性を悪用していると警告し、PaperCut NG/MFバージョン25および26向けに最初の緊急パッチをリリースしていました。
しかし当時、同社は攻撃を調査し顧客に緊急修正を適用する時間を与えるためとして、CVE識別子や脆弱性の技術的詳細を公表していませんでした。
PaperCutは現在、2件の脆弱性についてCVE-2026-82078およびCVE-2026-81578として追跡される技術的詳細とCVE識別子を公開しました。これらの脆弱性は連鎖的に悪用することで、認証をバイパスし、脆弱なサーバー上でコードを実行できます。
CVE-2026-81578は、PaperCut NG/MFのWeb管理インターフェースに影響を及ぼす、深刻度8.8のハイリスクな認証バイパス脆弱性です。
「特定の条件下では、管理機能を狙った未認証のリモートリクエストが、アクセス検証チェックの完了前にバックエンドの処理を発生させる可能性があります」とPaperCutの更新されたアドバイザリでは説明されています。
2つ目の脆弱性であるCVE-2026-82078は、PaperCutのデータベース接続ユーティリティに存在する、深刻度9.4の重大な安全でない動的クラスロード脆弱性です。
このアプリケーションは、承認済みの許可リストに照らして検証することなく、設定可能なドライバー名に基づいてデータベースドライバークラスを読み込みます。
「攻撃者がシステム設定パラメータを操作できる場合、これによりPaperCutサーバープロセスのセキュリティコンテキスト下で、アプリケーションのクラスパス上に存在する任意のJavaバイトコードを実行できてしまいます」とPaperCutは説明しています。
今回のインシデント対応でPaperCutと協力してきたサイバーセキュリティ企業watchTowrは、この脆弱性により未認証の攻撃者が認証をバイパスし、影響を受けるPaperCut NG/MFインスタンス上でリモートコード実行を達成できるとLinkedInで述べています。
2回目の緊急パッチをリリース
PaperCutは金曜日、社内セキュリティチームおよびHuntressとwatchTowrの研究者らとのさらなる分析を経て開発した追加の対策強化を含む、更新版のセキュリティ修正「Emergency Patch Release 2」をリリースしました。
「社内セキュリティチーム、およびHuntressとwatchTowrを含む社外の研究者とのさらなる作業の結果、最初の緊急パッチに加えて追加の対策強化を含む更新版の緊急パッチ(Release 2)をリリースしました」とPaperCutは述べています。
同社は、すでに最初の緊急パッチを適用済みの顧客に対しても、全顧客にRelease 2の導入を強く呼びかけています。
今回の2回目のリリースは、watchTowrの研究者が脆弱性を完全に再現し、複数のパッチバイパスを発見したうえ、新たな認証バイパス脆弱性を特定したと発表したことを受けたものです。
今回のインシデント対応でPaperCutと協力してきたHuntressは、2件の顧客環境で悪用を確認し、事前認証なしのRCE攻撃チェーン全体を再現したとしています。
同社はBleepingComputerに対し、PaperCutのログには攻撃者がシステム偵察に使用したコマンドが記録されていたと説明しました。また、ログ内で見つかった16進数エンコードされたJavaの`.class`ファイルは、PaperCutと基盤となるオペレーティングシステムとの間のRCEブリッジとして機能し、コマンドの実行やファイルの読み書きを可能にしていたといいます。
Huntressが観測したコマンドは、マルウェアの展開や永続化の確立ではなく、偵察目的で使用されたとみられています。
Huntressはまた、最初の緊急パッチに対する複数のバイパス方法と、新たな認証バイパス脆弱性を発見し、PaperCutに共有したとも述べています。
Emergency Patch Release 2は、Windows、Linux、macOS向けのPaperCut NGおよびMFバージョン24、25、26で利用可能です。バージョン23以前を使用している顧客には、そのバージョン向けのパッチを待つのではなく、最新版へのアップグレードが推奨されています。
PaperCutによると、サイトサーバーおよびセカンダリ/プリントサーバーもパッチ適用済みバージョンへアップグレードする必要があります。Print DeployやMobility Printなど、その他のコンポーネントは影響を受けておらず、更新は不要です。
パッチが利用可能になった現在も、PaperCutはファイアウォールルール、ネットワークアクセス制御、またはそれに準ずる対策を用いて、Webインターフェースへのアクセスを信頼できるIPアドレスに制限するよう顧客に呼びかけています。
管理者は、pc-app.exeプロセスからの不審な侵害後の活動、欠落または切り詰められたserver.logファイル、そしてserver.log内の以下のエラーにも注意を払う必要があります。
ERROR No suitable driver found for jdbc:no:x
ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST同社は、この攻撃の背後にいる人物や、脅威アクターが脆弱なサーバーを侵害した後に何を行っているかについては明らかにしていません。
PaperCutはBleepingComputerに対し、今回の攻撃は限定的かつ標的を絞ったものとみられるとしたうえで、調査を継続中であることを理由に侵害後の活動に関する詳細は伏せていると説明しました。
「攻撃者が侵害後に何を行っているかについての調査は現在も進行中であり、時期尚早な詳細開示は影響を受けた顧客自身の対応を複雑にしかねません」とPaperCutはBleepingComputerに語りました。
「申し上げられるのは次の点です。この公示では、PaperCut Application Serverに関連する侵入検知、エンドポイント、またはネットワーク監視のアラートに注意するよう顧客に助言しており、侵害指標(IoC)は検証され次第公表していきます」
PaperCutのサーバーは、攻撃者が認証バイパスおよびリモートコード実行の脆弱性であるCVE-2023-27350の悪用を開始した2023年にも、以前に標的とされたことがあります。
それらの攻撃は最終的に、ClopおよびLockBitのランサムウェア組織、イラン国家支援のハッキンググループ、そしてBl00dyランサムウェアギャングを含む、多数の脅威アクターに関連付けられています。
更新: Huntressからの情報を追加しました。
