Metasploit Frameworkに新たなモジュールが追加され、最近公表され実際に悪用が確認されているPaperCut NGおよびMFのゼロデイ脆弱性チェーンを悪用しやすくなる見込みです。
Rapid7の協力者であるStephen Fewer氏は、CVE-2026-81578とCVE-2026-82078を対象としたプルリクエスト#21842を提出しました。これらの脆弱性は、認証バイパスとリモートコード実行を組み合わせたものです。
今回の開発は、PaperCutが顧客側でのインシデント発生を確認してから数日後に明らかになりました。PaperCut NGおよびMFのすべてのバージョンが影響を受ける可能性があります。
サポート対象の24.x、25.x、26.xの各リリース向けに緊急パッチリリース2が公開されています。最初の緊急パッチを適用済みの管理者も、当初の修正を超える保護機能が追加されているため、このパッチを必ず適用する必要があります。
CVE-2026-81578はアクセス制御の不備に関する問題で、CVSS v4で8.8と評価されています。この脆弱性により、未認証の攻撃者がリモートからリクエストを送信し、アクセス検証が完了する前に管理バックエンドの操作を呼び出せてしまいます。
CVE-2026-82078は深刻度9.4(Critical)と評価されており、PaperCutのデータベースコネクタにおける安全でない動的クラスロードの問題です。この2つを組み合わせることで、未認証の攻撃者が設定を改ざんし、外部ルックアップの経路を悪用して、PaperCutサーバープロセス上でコード実行を達成できてしまいます。
Sfewer氏によると、初期アクセスの起点となったのはApache Tapestryの「complex direct」リクエストの挙動だということです。
リクエストは表示対象のページを1つ指定しつつ、別のページに紐づくコンポーネントを呼び出すことが可能です。しかしPaperCutは、呼び出されている管理コンポーネントに対してではなく、表示対象のページに対してのみアクセス検証を行っていました。
この攻撃チェーンは続けて、外部データベースのルックアップ設定を再構成し、検索リクエストを通じてそのルックアップを発動させます。
提案されているモジュールmulti/http/papercut_ng_external_user_lookup_rceは、バージョンに基づくチェック機能を備えており、PaperCut MFおよびNGの24.xから26.xまでを標的とします。
プルリクエストの説明によると、このモジュールはプラットフォームに依存しないJavaペイロードと、WindowsまたはLinux向けのコマンドペイロードの両方に対応しています。26.xではJavaコードがメモリ上で実行される一方、25.x以前で使われるプリミティブでは、一時的にヘルパークラスの書き込みが必要になる場合があります。
提供されたテストケースでは、このモジュールが脆弱なPaperCut MF 26.0.4サーバーを特定し、Windows Server 2025上でSYSTEM権限で動作するJava Meterpreterセッションを開くことに成功しています。
この結果は、運用上のリスクの大きさを如実に示しています。印刷管理サーバーが、企業や教育機関のネットワークにおける価値の高い侵入拠点になり得るということです。このプルリクエストは現時点でまだオープンな状態ですが、承認レビューはすでに得ています。
PaperCutは、パッチ適用前であっても、ファイアウォールやリバースプロキシ、ネットワークアクセス制御を用いて、Application Serverのウェブインターフェースへの一般公開アクセスを直ちに信頼できるIP範囲に制限するよう組織に呼びかけています。
リリース2は、Application Server、Site Server、および副次的な印刷サーバーすべてに適用する必要があります。23.x以前を使用している顧客は、アップグレードを行うべきです。
防御側は、PaperCutのserver.logを確認し、jdbc:no:x、jdbc:derby:memory:pwn;create=true、あるいはJavaクラスのバイトコード参照といった、データベースドライバやルックアップ関連の異常なエラーがないか調査すべきです。
併せて、PaperCutのディレクトリ配下にある不審な.class、.cmd、.outファイルや、pc-appから派生する不審な子プロセスの活動、SimpleHelpやAnyDeskの許可されていない導入なども調査する必要があります。これらの痕跡が見つからないからといって、侵害がなかったとは言い切れません。
悪用がすでに確認されており、さらに公開された攻撃自動化ツールの整備も進んでいることから、組織は外部からアクセス可能なPaperCutサーバーを、緊急のパッチ適用およびインシデント対応の最優先事項として扱うべきです。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。 ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/metasploit-exploit-targets-actively-exploited/
