米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)は、PaperCut NG/MFに影響する2件の脆弱性を「悪用が確認された脆弱性」(KEV)カタログに追加し、攻撃者がこれらの欠陥を積極的に悪用していると警告しました。
同庁は2026年8月31日、CVE-2026-81578とCVE-2026-82078をリストに掲載し、拘束的運用指令(BOD)26-04に基づき、影響を受ける連邦民間機関に対して9月14日までにベンダーの緩和策を適用するよう指示しました。
PaperCut NG/MFは、企業、教育機関、政府機関、マネージドプリント環境で広く導入されている印刷管理ソフトウェアです。
この2件の組み合わせが特に重要なのは、CISAによればこれらの問題を連鎖的に悪用できる可能性がある点です。未認証のアクセスから、PaperCutサーバーのセキュリティコンテキスト内でのコード実行へとエスカレートする恐れがあります。
CVE-2026-81578は、CWE-306に分類される認証欠如の脆弱性です。未認証のリモート攻撃者はこれを悪用して特定のシステム設定を変更でき、インターネットから到達可能な公開アプリケーションにとっては強力な足がかりとなります。
単独でも、設定の改ざんは想定されている管理制御を無力化しかねません。連鎖攻撃の中では、この改ざんが2つ目の脆弱性を悪用するための下準備として機能する可能性があります。
CWE-470に分類されるCVE-2026-82078は、安全でないリフレクションの脆弱性です。これにより攻撃者はシステムの設定パラメータを操作し、アプリケーションのクラスパス上に既に存在する任意のJavaバイトコードを実行できます。
重要なのは、このコードがPaperCutサーバープロセスのセキュリティコンテキスト下で実行される点です。インスタンスの導入・設定状況によっては、攻撃者はそのサービスと同等の権限やネットワーク可視性を得る可能性があります。
現時点でCISAは、いずれの脆弱性についてもランサムウェアキャンペーンでの使用を確認しておらず、BOD 26-04に基づくフォレンジック調査(トリアージ)の対象にも指定していません。ただし、これらの指定がないことをリスクが低いという評価だと解釈すべきではありません。
インターネットに公開された印刷管理プラットフォームは、IDシステム、エンドポイント、ファイルワークフロー、社内ネットワークサービスが交差する、攻撃者にとって都合の良い位置に置かれることがあります。
セキュリティチームは、公開の概念実証(PoC)コードやランサムウェアとの関連付けを待つのではなく、悪用の証拠が確認された時点で直ちに自組織の露出状況を確認すべきです。
CISAの指令は、ベンダーの指示およびBOD 26-04が定めるリスクベースの更新要件に従って緩和策を実施するよう各機関に求めています。
クラウドホスト型サービスを利用している組織は、指令が定める該当のクラウドガイダンスに従う必要があります。緩和策が利用できない場合、CISAは関係者に対して該当製品の使用を中止するよう求めています。
防御側はまず、リバースプロキシ経由で公開されているインスタンスや、これまでの棚卸しで見落とされていたインスタンスも含め、すべてのPaperCut NG/MFサーバーを特定する必要があります。
その上で、ベンダーによる修正状況を確認し、管理インターフェースや不要な受信アクセスを制限し、PaperCutおよび認証ログを確認して設定変更やサーバー・プロセスの異常な挙動がないか調査すべきです。
これらの脆弱性は連鎖的に悪用される可能性があるため、組織は単一のCVEを個別に対処するのではなく、両方の欠陥を完全に修正することを優先すべきです。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化
翻訳元: https://cyberpress.org/cisa-two-papercut-ng-mf-actively-exploited/
