プリント管理ソフトウェアPaperCut NGおよびMFに存在する2件のセキュリティ脆弱性が、ゼロデイとして悪用された後、先週修正パッチが公開されましたが、現在これらの脆弱性がデータ窃取攻撃に悪用されています。
PaperCut Softwareによると、同ソフトウェアは70,000を超える組織で1億人のユーザーに利用されており、大企業や州政府機関、教育機関も含まれます。
CVE-2026-81578およびCVE-2026-82078として追跡されているこの2件の脆弱性は、連鎖させることで認証をバイパスし、脆弱性のあるPaperCut NGおよびMFプリント管理サーバー上でリモートコード実行を達成できます。
PaperCut Softwareは木曜日と金曜日の2回にわたって緊急パッチを公開し、防御側が進行中の攻撃をブロックできるよう侵害の痕跡(IoC)も公表しました。ただし同社はこれまでのところ、攻撃の帰属や、脅威アクターが脆弱なサーバーを侵害した後に何を行っているかについては説明していません。
週末には、脅威インテリジェンス企業Defusedも、攻撃者が実際にこの2つの脆弱性を悪用して被害者のサーバーからデータを窃取し始めていることを確認しました。
「当社のハニーポットでは、UTC時間で昨日(8月29日)遅くから、CVE-2026-81578 / CVE-2026-82078(PaperCut NG/MF)を狙った攻撃活動を観測しています」とDefusedは述べています。「あるアクターは認証バイパスを悪用してPaperCutの外部ユーザー検索機能を乗っ取っています。公開されている技術解説記事にあるRCE経路とは異なり、このアクターはデータ窃取を狙っており、Derbyを通じてデータベースのテーブルをダンプしています」。
インターネットセキュリティ監視団体Shadowserverは現在、800台を超えるPaperCut MFおよびNGサーバーがオンライン上に公開されている状態にあることを確認していますが、そのうちどれだけがハニーポットなのか、あるいは既にこれらの攻撃への対策が施されているのかについての情報はありません。
国家支援を受けたハッキンググループとランサムウェアギャングは、これまでも過去数年にわたり、PaperCutのセキュリティ脆弱性を標的にした攻撃を実際に行ってきました。
2023年4月には、深刻度が緊急のリモートコード実行の脆弱性(CVE-2023-27350)と、深刻度の高い情報漏えいの脆弱性(CVE-2023-27351)が連鎖的に悪用される攻撃が発生し、LockBitおよびClopランサムウェアギャングとの関連が指摘されました。
その2週間後、Microsoftはイランの国家支援ハッキンググループであるMuddywaterとAPT35もこの攻撃に加わっていたことを明らかにしました。
同社が当時説明していたところによると、これらの脅威グループは、PaperCutの印刷サーバーを通じて送信されたすべての文書を保存するよう設計された「Print Archiving」機能を悪用していました。
さらに1か月後の2023年5月、FBIとCISAは、Bl00dyランサムウェアギャングも標的組織のネットワークへの初期侵入手段としてCVE-2023-27350の脆弱性の悪用を開始していたと警告しました。
米サイバーセキュリティ・インフラセキュリティ庁(CISA)は2025年7月、別のリモートコード実行の脆弱性(CVE-2023-2533)についても、実際の攻撃で悪用されているとして注意喚起を行っています。
