米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、PaperCut NG/MFに関連する2件の重大な脆弱性を「既知の悪用された脆弱性」(KEV)カタログに追加し、これらの脆弱性が実際に悪用されていると警告しました。
Cybersecuritynews platform
CVE-2026-81578とCVE-2026-82078として識別されたこれらの脆弱性は、組み合わせることで認証されていない攻撃者がサーバー設定を変更し、PaperCutサーバープロセス内で任意のJavaバイトコードを実行できるようになります。
PaperCut NG/MFは、印刷、スキャン、デバイスアクセス、クォータ、印刷会計機能を管理するために広く利用されているプラットフォームです。
企業のID管理システムと連携し、内部ネットワークに展開できることから、印刷管理インフラが広範な接続性を持つ環境では、この脆弱性が悪用されると脅威アクターに侵入の足がかりを与える可能性があります。
複数のPaperCut NG/MFの脆弱性
CVE-2026-81578は、PaperCut NG/MFの重要な機能に影響を及ぼす認証欠如の脆弱性です。CISAのKEVエントリーによると、この脆弱性により、認証されていないリモート攻撃者が特定のシステム設定を変更できるとされています。
この脆弱性は、重要な機能における認証の欠如を扱うCWE-306に分類されます。
2つ目の脆弱性であるCVE-2026-82078は、安全でないリフレクションの脆弱性(CWE-470)に分類されます。攻撃者はシステム設定パラメータを操作し、アプリケーションのクラスパス上にすでに存在する任意のJavaバイトコードを実行できます。この際、PaperCutサーバープロセスのセキュリティコンテキスト下で動作します。
個別に見ても、これらの脆弱性は深刻なリスクをもたらします。しかし両者を組み合わせて悪用すると、CVE-2026-81578によって設定変更への認証されていないアクセスが可能になり、CVE-2026-82078がそのアクセスを利用してコードを実行することができてしまいます。
この攻撃経路により、侵入者はPaperCutサービスアカウントに割り当てられた権限で悪意のあるロジックを実行できる可能性があります。
CISAは両脆弱性を2026年8月31日にKEVカタログに追加し、修正期限を2026年9月14日と定めました。連邦文民行政機関(FCEB)は、ベンダーの指示に従って緩和策を実施し、リスクに基づいてセキュリティ更新の優先順位を定めるCISAの拘束力のある運用指令(BOD)26-04に準拠する必要があります。
CISAは各組織に対し、影響を受けるPaperCutシステムがインターネットに公開されていないか確認し、クラウドサービスに適用されるパッチ要件を順守し、緩和策が利用できない場合は当該製品の使用を中止するよう推奨しています。
現時点でCISAのエントリーでは、ランサムウェアキャンペーンでの利用は不明とされており、BOD 26-04に基づくフォレンジック調査(トリアージ)の実施は必要とされていません。
推奨される防御策
セキュリティチームは、以下の対応を直ちに講じる必要があります。
- クラウドでホストされているものや子会社が管理しているものも含め、すべてのPaperCut NG/MFサーバーを特定する。
- 9月14日の期限までに、ベンダー提供のパッチまたは緩和策を適用する。
- 管理インターフェースへのアクセスを信頼できる管理ネットワークに限定し、不要なインターネットへの露出を排除する。
- PaperCutの設定変更、サービスアカウントの活動、Javaプロセスの挙動、送信接続を確認し、侵害の兆候がないか調べる。
- PaperCutサービスアカウントが最小権限の原則に従い、不要なシステムへのアクセス権を持たないようにする。
調査の遅れによるインシデントを防止しましょう。15,000のSOCから得られる脅威インテリジェンスで、あなたのTier 1を強化します。 TI LookupをあなたのSOCに統合する
翻訳元: https://gbhackers.com/cisa-flags-multiple-papercut-ng-mf-flaws/
