最近発見されたPaperCut NG/MFの2件の脆弱性を悪用する攻撃がエスカレートしており、脅威アクターは偵察活動から人間の手による実際の操作(hands-on-keyboard)へと移行しています。
PaperCutは8月27日、まずユーザーに対し、印刷管理ソリューションであるNGおよびMFにおいて、積極的に悪用されているゼロデイ脆弱性について警告しました。その後、脅威アクターが攻撃において2つの脆弱性を連鎖的に悪用していたことが判明しました。
これらの脆弱性はCVE-2026-82078およびCVE-2026-81578として追跡されており、未認証の攻撃者によって悪用されると、認証をバイパスされた上で、影響を受けるPaperCut NG/MFインスタンス上でリモートコード実行が可能になります。
同社は迅速に2件の緊急パッチを展開しました。最初のパッチはバイパスされたため、2件目を投入した形です。現在は両方の脆弱性に対応する正式版のリリースに向けて作業を進めています。
その間にも攻撃はエスカレートし続けていると、状況を監視してきたエクスポージャー管理企業WatchTowrの研究者らは述べています。
WatchTowrで脅威インテリジェンス責任者を務めるJake Knott氏はメールで次のように述べています。「活動の内容は大きく、そして急速に変化しています。もはや脆弱なシステムを特定するための単純な探索的プローブにとどまらず、侵害したシステムを探索する人間の攻撃者による、実際の手による操作を伴う本格的な悪用が確認されています」
Knott氏はさらに次のように付け加えています。「この一連の活動において注目すべきは、その巧妙さが『平均以上』である点です(とはいえ、その基準自体は依然として非常に低いのですが)。中には、外部ネットワークから内部ネットワークへのピボットを実現し、攻撃を継続させることだけを目的として設計されたものも見られます。攻撃者は相変わらず利己的で、展開したインメモリ型ペイロードへのアクセスに独自の鍵を設定することで、自分たちだけが侵害済みホストにアクセスし、さらに攻撃を進められるようにしています。こうした挙動は、初期アクセスブローカーや、より攻撃的な結果を狙うオペレーターに特徴的なものです」
PaperCutが更新した侵害指標(IoC)も攻撃のエスカレーションを示しており、具体的には標的となったシステムへのリモートアクセスツールの展開が確認されています。
CVE-2026-82078およびCVE-2026-81578に関する技術的な詳細は、セキュリティ企業のHuntressおよびRapid7からも公開されています。
サイバーセキュリティ機関のCISAは月曜日、CVE-2026-82078とCVE-2026-81578を既知の悪用された脆弱性(KEV)カタログに追加したと発表しました。連邦政府機関には9月14日までにこれらの脆弱性へ対応するよう指示が出されています。
ShadowServerのデータによると、1,000件を超えるPaperCut NG/MFインスタンスがインターネットに公開されています。
WatchTowrのKnott氏は次のように警告しています。「ここ数日のいずれかの時点でインターネットに公開され、かつ未パッチの状態だったシステムは、興味深い、あるいは価値のある標的を探し回っている攻撃者によってすでに侵害されているものと想定すべきです。まだであれば、今すぐインシデント対応プロセスを起動すべきタイミングです。パッチ適用だけでは新たな攻撃者の侵入を防げても、既存の攻撃者によるアクセスの維持やさらなる侵入は許してしまいます」
翻訳元: https://www.securityweek.com/papercut-exploitation-escalates-to-active-intrusions/
