この印刷管理ソフトウェアメーカーは、2023年にも高等教育機関の顧客を狙った一連の攻撃に直面していました。
PaperCutは金曜日、同社の印刷管理ソフトウェアに存在する複数の重大な脆弱性に対処するため、緊急パッチを公開しました。
同社はセキュリティアドバイザリで、複数の顧客が実際に攻撃対象にされたことを確認し、Huntressおよびwatchtowrのセキュリティ研究者と協力してこの攻撃に対応していると明らかにしました。
今回の脆弱性には、PaperCut MFおよびPaperCut NGにおけるアクセス制御の不備が含まれます。CVE-2026-81578として追跡されるこの欠陥により、認証されていない攻撃者が特定のシステム設定を変更できてしまいます。また、安全でない動的クラスロードの欠陥であるCVE-2026-82078を悪用すると、攻撃者は任意のJavaバイトコードを実行できます。
「この2つの脆弱性を連鎖させることで、いわば『狙って撃つだけ』の完全な侵害を実現する攻撃手法です」と、Huntressのシニアプリンシパルセキュリティ研究者であるJohn Hammond氏はCybersecurity Diveに語っています。
Hammond氏によると、先週確認された2件の悪用事例は初期段階の偵察行為にとどまっていたといいます。ただし、ユーザー名やパスワードが一切不要で、攻撃者は標的のIPアドレスまたはホスト名さえ分かればサーバーを完全に侵害できるため、悪用は急速にエスカレートしかねないと同氏は警告しています。
Huntressは概念実証(PoC)エクスプロイトの再現に成功し、PaperCutが最初に公開したパッチに対する回避手法も発見しました。Hammond氏は、2回目に公開されたパッチについてはHuntressのPoCに対して有効に機能していることを確認したとしています。
Huntressはすべてのユーザーに対し、アプリケーションサーバーを公開インターネットから切り離し、アクセスを信頼できるネットワークに限定するよう強く呼びかけています。
watchtowrの研究者もこれらの脆弱性の再現に成功しており、初回パッチに対する回避手法を発見したとLinkedInの投稿で述べています。
セキュリティ企業Rapid7も、複数の顧客が侵害を受けたことを確認したと明らかにしています。研究者らは、攻撃者が侵害したホストへのアクセスを得た後、さらなる行動に出ているケースも確認しています。
「攻撃者は独自のリモート管理ツールを持ち込み、永続性の確保、権限昇格、そして横展開の試みを行っていることを確認しています」と、Rapid7の検知・対応サービス部門シニアマネージャーであるSeth Lazarus氏はCybersecurity Diveに語っています。
PaperCutは2023年にも深刻な攻撃に見舞われていました。当時、FBIおよびサイバーセキュリティ・インフラセキュリティ庁(CISA)は、複数の脅威アクターが同ソフトウェアの重大な脆弱性を狙っていると警告していました。
CISAは金曜日、CVE-2026-81578を既知の悪用済み脆弱性(KEV)カタログに追加し、さらに月曜日にはCVE-2026-82078も追加しました。同機関は連邦文民行政機関(FCEB)に対し、1つ目の脆弱性については9月11日、2つ目については9月14日を修正期限として設定しています。
もし顧客が自社のサーバーが侵害された可能性があると考える場合、PaperCutは既存のサーバーバックアップを保護したうえで、アプリケーションサーバーを消去・再構築し、クリーンなバックアップから復元することを推奨しています。
