PaperCut Softwareは進行中の攻撃キャンペーンに関する最新のアップデートで、インターネットに公開されたPaperCut Application Serverを標的とする脅威アクターが、正規のリモートアクセスソフトウェアを密かにインストールしていることを明らかにしました。
リモートアクセスツール展開に悪用されたPaperCutのゼロデイ脆弱性
同社は2026年8月27日、PaperCut NGおよびMFの印刷管理ソリューションを使用する顧客に対し、「直ちに信頼できるIPアドレスのみにWebアクセスを制限する」よう呼びかけ、実際に発生している侵害について初めて警告を発しました。
当初PaperCutは、脅威アクターが未知の脆弱性を悪用してソリューションのApplication Serverへのアクセスと制御を獲得したと考えていましたが、その後の調査で、2つのゼロデイ脆弱性が利用されていたことが判明しました。
- CVE-2026-81578: PaperCut MFおよびPaperCut NGのWeb管理インターフェースにおけるアクセス制御不備の脆弱性
- CVE-2026-82078: 両ソリューションのデータベース接続ユーティリティにおける安全でない動的クラスロードの脆弱性
この2つの脆弱性を連鎖させることで、認証を経ていない脅威アクターは認証を回避し、特定のシステム設定を変更したうえで、PaperCutサーバープロセスのセキュリティコンテキスト下で任意のJavaバイトコードを実行できました。
ある大学の顧客のセキュリティチームおよびデジタルフォレンジック・インシデント対応チームの協力を得て、PaperCut Softwareはこれらの脆弱性を再現し、8月28日に緊急パッチを配布しました。
同日中に同社は「社内セキュリティおよび外部の研究者と共同で開発した追加の強化策」を盛り込んだ2回目の緊急パッチを公開し、すでに初回のパッチを適用済みの顧客に対しても、これを適用するよう呼びかけました。
さらに8月30日には、これまでに提供していた侵害の痕跡（IOC）のリストを拡充するとともに、攻撃者がApplication Serverへのアクセス獲得後に実行しているコマンドシーケンスを公開しました。
- ユーザーとその権限、実行中のプロセスを一覧表示する
- ドメイン内のドメインコントローラーを列挙する
- ログオン中のユーザーセッションを一覧表示する
- ファイル共有ホスト（sendit.sh）から悪意のあるペイロードをC:\ProgramDataにダウンロードする
- ペイロードをサイレントインストール・実行し、SimpleHelpリモートアクセスソフトウェアをインストールして自動起動するよう設定したうえで、正常に動作しているか確認する
- AnyDeskをダウンロードし、2つ目の冗長なリモートアクセス経路を確立する
PaperCutは次のように述べています。「顧客の環境はそれぞれ異なるため、侵害後の活動について単一の一貫したパターンを特定するのは困難ですが、観測された挙動としては、pc-app.exe（またはpc-app）プロセスが子シェルプロセス（cmd.exe）を起動し、whoamiとverを実行するケースが挙げられます。場合によってはエンドポイント保護によってそれ以上の実行が阻止され、該当マシンが隔離されています」。
実行が阻止されなかったケースでは、攻撃者は上記の一連の行動を実行し、最終的にAnyDeskのインストールに至っていました。
PaperCutが最初にこの問題を公表して以降、Rapid7はこれらの脆弱性に関する技術概要を公開しました。また、watchTowrの研究者らは複数のパッチ回避手法を発見し、さらに別の認証回避の脆弱性も特定してPaperCutに報告しています。
Huntressのアナリストは、2つの顧客環境で悪用の証跡を発見しましたが、悪用活動自体は限定的なものでした。そのうちの1件では、悪用されたインスタンスはPaperCut MFバージョン24.1.5.71847を実行していました。
顧客はどう対応すべきか
PaperCut NGおよびMF向けの最初の緊急パッチはv25系とv26系のみに提供されていましたが、2回目のパッチではv24系向けのパッチも含まれています。
Huntressの研究者は、「Huntressが把握しているおよそ2,500件のPaperCutインストールのうち47%がv23以前のバージョンを実行しており、これらに対しては現時点でパッチが提供されていない」と指摘しています。
PaperCutは、v24より古いバージョンのPaperCut NG/MFを使用している顧客に対し、最新バージョンへのアップグレードを推奨しています。
同社は次のように付け加えています。「Site Serverおよびセカンダリ/プリントサーバーについても、プライマリのApplication Serverだけでなくパッチ適用済みバージョンへ更新する必要があります。Print DeployやMobility Printなど他のコンポーネントは影響を受けないため、更新の必要はありません」。
Huntressはユーザーに対し、以下を推奨しています。
- アップデート適用前にフォレンジック証跡を保全する
- 提供されている緊急アップデートを適用し、PaperCut Application ServerへのWebアクセスを信頼できるIPアドレスに制限する
- 保全したログを既知の侵害の痕跡と照合して確認する
PaperCutは次のようにアドバイスしています。「侵害後のリモートアクセスツール導入を示す潜在的な兆候として、[C:\ProgramData\JWrapper-Remote Access\JWAppsSharedConfig\restricted\パス]からSimpleService.exeを実行する『Remote Access Service』という名前のWindowsサービスの有無、および想定外のAnyDeskインストールの有無を確認することを推奨します」。
ただし同社は、すでに共有されている侵害の痕跡が見つからないからといって、システムが影響を受けていないとは限らない点にも言及しています。「検証済みの具体的な痕跡や追加のガイダンスについては、判明次第こちらで公開していきます」としています。
「サーバーが侵害された疑いがある場合は、現在のサーバーバックアップを保全したうえで、Application Serverを完全に消去して再構築し、不審な挙動が検知される前に取得したクリーンなバックアップから復元することを推奨します。加えて、組織のセキュリティ対応手順を発動し、標準的なインシデント対応プロトコルに従ってください」。
攻撃者の最終的な目的は、依然として不明です。
3年前には、ClopおよびLockBitの関連グループが既知の2つのPaperCutの脆弱性を悪用し、サーバーを侵害してランサムウェアを展開しました。今回は既知のバグではなくゼロデイの脆弱性でしたが、現在の攻撃者にはさらに有利な材料があります。それは、標的となるソフトウェアの解析や未知の脆弱性の発見、動作するエクスプロイトの作成を助けるAIツールです。
翻訳元: https://www.helpnetsecurity.com/2026/08/31/papercut-attack-remote-access-tools/
