PaperCutの脆弱性、AI駆使した攻撃で悪用される

PaperCut NG/MFで最近発見された2件の脆弱性が、世界各地の数百の組織を標的としたAI駆使型攻撃で悪用されていたことが、GreyNoiseの報告により明らかになりました。

CVE-2026-82078およびCVE-2026-81578として追跡されているこれらのセキュリティ上の欠陥は、8月27日にゼロデイ脆弱性として公表され、翌日にはパッチが提供されました。

これらの脆弱性を悪用すると、リモートの未認証攻撃者が認証を回避し、脆弱性のあるPaperCut NG/MFインスタンス上で任意のコードを実行できるようになります。

その数日後、WatchTowrの脅威インテリジェンス部門責任者であるJake Knott氏は、これら2件の脆弱性をめぐる攻撃活動が激化していると警告していました。Knott氏は当時、イニシャルアクセスブローカーがこの悪用活動の背後にいる可能性が高いとの見方を示していました。

今週、脅威インテリジェンス企業のGreyNoiseは、ロシア語を話す脅威アクターがAIを使ってエクスプロイトを構築・検証し、440件のPaperCut NG/MF導入環境に対して展開していたことを明らかにしました。

この脅威アクターは、48カ国395組織の脆弱なPaperCutインスタンスを標的とし、リモートコード実行(RCE)と認証情報の窃取を狙っていました。

「特定の組織に帰属を特定できない実際の被害者も他に存在します。この攻撃者は明確に28カ国の識別された国の組織を標的から除外しようとしていましたが、実際に観測された被害状況を見ると、一部の事例ではその意図的な自制が機能していませんでした」とGreyNoiseは述べています。

このキャンペーンをAIで統率したことにより、脅威アクターは一部の環境を数分、場合によっては数秒で侵害することができました。ただし攻撃者の成功度合いは組織によって一様ではなく、ドメイン管理者権限の奪取に成功したのはわずか12の被害組織にとどまりました。

「このアクターが、他の関連アクターに引き渡すためのアクセス構築のみに専念しているのか、それとも自らデータ窃取やランサムウェア展開といった二次的な目的の達成にこのアクセスを直接活用するつもりなのかは、現時点では不明です」とGreyNoiseは指摘しています。

脅威インテリジェンス企業である同社は、このキャンペーン全体を通じて3つの攻撃経路を確認しました。ドメインメンバーであるホストからLSASSプロセスメモリとレジストリのシークレットを収集する経路、パッチが適用されていないインスタンスに対してNoPac攻撃を仕掛ける経路、そしてホストがドメインコントローラーである場合にDomain Adminsグループへ新規アカウントを追加する経路です。

GreyNoiseによると、攻撃者は侵害したホストのうち280件に対して認証情報の窃取を実行し、137件からシークレットを窃取したほか、12件の事例でドメイン管理者権限を取得しました。

侵害された440件の導入環境のうち、204件は教育分野の組織のものでした。また、小売・専門サービス、不動産・宿泊、IT/MSP、非営利・慈善団体、図書館、製造・公益事業の各分野の組織も数十件が被害に遭いました。