印刷管理サーバーを狙うゼロデイ攻撃、PaperCutが緊急パッチを公開

2026年8月28日、The Hacker Newsは、印刷管理ソフトウェア「PaperCut NG」と「PaperCut MF」の全バージョンに影響する脆弱性が、実際のサイバー攻撃で悪用されていると報じました。PaperCutは複数の顧客でインシデントを確認しており、緊急パッチを公開しています。その後、攻撃にはCVE-2026-81578とCVE-2026-82078の2件が組み合わされ、認証されていない攻撃者によるリモートコード実行につながる可能性があることが明らかになりました。

The Hacker News：PaperCut Zero-Day Exploited in Attacks, Affecting All NG and MF Versions

この記事のポイント

影響のあるシステム

• PaperCut NG：PaperCut公式は、すべてのバージョンが今回の緊急セキュリティアドバイザリの対象になるとしています。
• PaperCut MF：PaperCut NGと同様、すべてのバージョンが対象です。
• PaperCut NG/MF Application Server：特にインターネットからWebインターフェースへ直接アクセスできる構成では、緊急対応が推奨されています。
• PaperCut Site Server：PaperCutは、Application ServerだけでなくSite Serverも修正版へ更新するよう案内しています。
• Secondary／Print Server：これらについても、該当する場合はパッチ適用済みバージョンへの更新が必要とされています。
• PaperCut NG/MF v24、v25、v26：Emergency Patch Release 2が提供されています。
• PaperCut NG/MF v23以前：PaperCutは最新バージョンへのアップグレードを推奨しています。

一方、PaperCut Hive、PaperCut Pocket、Mobility Print、Print Deployのサーバーコンポーネント、およびUser Clientなどのクライアントソフトウェアについては、PaperCut公式が今回の脆弱性の影響対象ではないと案内しています。製品名が似ているため、自社でどのPaperCut製品とコンポーネントを利用しているかを正確に確認したうえで対応することが重要です。

推奨される対策

• PaperCut NGまたはPaperCut MFを利用している場合は、Emergency Patch Release 2を速やかに適用してください。
• 初回のEmergency Patchをすでに適用している場合でも、追加の強化策を含むRelease 2へ更新してください。
• PaperCut Application Serverをインターネットへ直接公開している場合は、直ちに外部からのアクセスを制限してください。
• ファイアウォールやネットワークACLを利用し、PaperCutのWeb管理画面へ接続できるIPアドレスを信頼できる範囲に限定してください。
• 可能な場合は、VPNなどの管理された経路を経由しなければPaperCutサーバーへアクセスできない構成にしてください。
• PaperCutのserver.logが削除、欠落、異常に短縮されていないか確認してください。
• pc-app.exeまたはpc-appから不審な子プロセスが起動していないか、EDRやサーバーログを確認してください。
• PaperCut公式が公開しているIOCと自社環境のログを照合してください。
• 不審なAnyDeskやSimpleHelpなどのリモートアクセスツールが導入されていないか確認してください。
• 侵害が疑われる場合は、通常のアップデートだけで対応を終了せず、インシデント対応とフォレンジック調査を実施してください。

今回の攻撃については、PaperCut自身が複数顧客で実際のインシデントを確認しています。そのため、「攻撃が発生する可能性がある脆弱性」ではなく、すでに悪用が確認された脆弱性として扱う必要があります。特に外部公開されたApplication Serverについては、パッチ適用を待つだけではなく、まずインターネットからの到達性を制限することが推奨されています。

2つの脆弱性を組み合わせ、認証なしでコード実行へ

PaperCutが最初に2026年8月27日の緊急アドバイザリを公開した時点では、攻撃に利用されている脆弱性の詳しい仕組みやCVE番号は明らかにされていませんでした。その後の調査により、今回の侵害活動ではCVE-2026-81578とCVE-2026-82078という2つの脆弱性を組み合わせた攻撃チェーンが利用されていることが判明しています。

CVE-2026-81578はWeb管理インターフェースのアクセス制御に関する問題です。特定の条件では、認証されていない外部からのリクエストによって、アクセス権限の確認が完了する前に管理機能のバックエンド処理を実行できる可能性があります。これにより、攻撃者はPaperCutの一部のシステム設定を変更できる可能性があります。

そこからCVE-2026-82078が悪用されることで、攻撃者が操作した設定を利用して任意のJavaバイトコードをPaperCut Application Serverのプロセス権限で実行できる可能性があります。単独では異なる条件を持つ2件の脆弱性ですが、組み合わせることで認証前のリモートコード実行へつながる攻撃経路が形成されます。

そのため、単純に管理者アカウントのパスワードを強化したり、多要素認証を導入したりするだけでは、今回の攻撃チェーンそのものを防げない可能性があります。PaperCutが提供するセキュリティ修正を適用するとともに、外部からPaperCutの管理インターフェースへ直接アクセスできないネットワーク構成にすることが重要です。

全バージョンが対象、Release 2への更新を推奨

PaperCut公式は今回の緊急アドバイザリについて、PaperCut NGとPaperCut MFの「すべてのバージョン」が対象になるとしています。当初はv25とv26向けに緊急パッチが提供されましたが、その後、社内セキュリティチームやHuntress、watchTowrなどの外部研究者との調査を受け、追加のセキュリティ強化を含むEmergency Patch Release 2が公開されました。

現在、Release 2はPaperCut NGおよびPaperCut MFのv24、v25、v26向けに提供されています。PaperCutは、最初の緊急パッチをすでに導入している利用者についてもRelease 2を適用するよう推奨しています。v23以前については今回のEmergency Patch Release 2が提供されておらず、最新バージョンへアップグレードすることが推奨されています。

また、Primary Application Serverだけを更新すればよいわけではありません。PaperCutはSite Serverやsecondary／print serverについても、パッチ適用済みバージョンへ更新するよう案内しています。一方で、Mobility PrintやPrint Deployのサーバーコンポーネント、User Clientなどのクライアントソフトウェアは今回の問題の影響を受けず、更新は不要とされています。

Release 2は通常のリリースプロセスを経た正式版ではなく、公開サーバーを運用している顧客などへ向けた緊急パッチという位置付けです。PaperCutは正式リリースに向けた作業を継続しているため、管理者はパッチを適用した後も同社のセキュリティアドバイザリを継続して確認する必要があります。

インターネット公開サーバーは直ちにアクセス制限を

PaperCutが最優先で求めている対応の一つが、Application Serverのインターネット公開を止めることです。PaperCut NG/MF Application ServerのWebインターフェースを誰でも到達できる状態で公開している場合は、疑わしい挙動が確認されていなくても、直ちに信頼できるIPアドレスだけへアクセスを限定するよう案内しています。

具体的には、ファイアウォール、ネットワークアクセス制御などを使用し、PaperCutのWebインターフェースを信頼できないインターネットアドレスから到達できないようにします。外部から管理する必要がある場合には、VPNなどの管理された接続経路を経由させる方法も考えられます。重要なのは、PaperCut管理画面を一般のWebサイトのように直接インターネットへ公開しないことです。

今回のCVE-2026-81578では認証されていないリモートリクエストによって管理処理へ到達できる可能性があるため、単純に「ログイン画面があるから外部公開しても安全」と考えるべきではありません。アクセス制限によって攻撃者がそもそもWebインターフェースへ到達できない構成にすることは、パッチ適用と併用できる重要な防御策です。

特に学校、大学、企業などでは、在宅勤務や遠隔管理を目的として管理画面を外部公開しているケースも考えられます。自社がPaperCutを利用している場合は、まず外部からApplication Serverの管理ポートへアクセス可能かを確認し、必要性のない公開設定が残っていないかを見直すことが重要です。

server.logの異常やpc-app.exeの不審な動作を確認

PaperCutは、今回の攻撃で侵害された可能性を確認するための複数のIOCを公開しています。代表的なものとして、PaperCut Application Serverに関連してIDS、EDR、ネットワーク監視製品から不審な挙動が検知されているケースや、「pc-app.exe」または「pc-app」から通常とは異なる子プロセスが実行されるケースが挙げられています。

また、PaperCutの「server.log」が存在しない、意図せず短くなっている、削除されているといった状態も侵害の兆候となる可能性があります。ログ内では「ERROR No suitable driver found for jdbc:no:x」や「ERROR DatabaseUtils – Database error looking up cardID: VALUES CAST」といったエラーが確認される場合があるとされています。

PaperCutはその後、攻撃活動で作成される可能性のある.class、.cmd、.outファイルや、pc-app.exeからcmd.exeが起動される挙動など、追加のIOCも公開しています。一部の確認済みインシデントでは、システム情報の収集後にSimpleHelpやAnyDeskといったリモートアクセス用ソフトウェアが導入される挙動も確認されています。

ただし、PaperCutはこれらのIOCが存在しないことだけでは、侵害されていないと証明できないと注意しています。攻撃者が活動の途中でファイルやログを削除する可能性があるためです。IOCとの単純な一致確認だけで判断せず、EDR、ネットワークログ、Windowsイベントログ、PaperCutのログなどを組み合わせて調査することが重要です。

侵害が疑われる場合はパッチ適用だけで終了しない

緊急パッチは、今後同じ脆弱性を悪用されることを防ぐために重要ですが、すでに侵害されたサーバーを自動的に元の安全な状態へ戻すものではありません。PaperCutも、サーバーが侵害された疑いがある場合には、通常のアップデートとは別にインシデント対応を行うよう案内しています。

PaperCut公式は、侵害が疑われる環境では現在のサーバーバックアップを確保したうえで、Application Serverを完全に消去して再構築し、不審な挙動が確認される以前に取得されたクリーンなバックアップから復元することを推奨しています。また、組織内のセキュリティインシデント対応手順を開始し、標準的なインシデントレスポンスを実施することも求めています。

特に、未知の.classファイルやリモートアクセスソフトウェア、不審なプロセス実行が確認された場合は、攻撃者がPaperCutの脆弱性を利用した後に別の活動へ移行している可能性があります。その場合、PaperCutだけを更新して対応完了と判断せず、侵害された認証情報、永続化、不審なネットワーク通信、他のサーバーへの横展開なども含めて確認する必要があります。

PaperCut自身も、個別の顧客環境について侵害範囲を完全に判断することはできないとしています。そのため、企業の重要な印刷基盤やActive Directoryなどと連携しているサーバーで侵害が疑われる場合は、ログや端末情報を保全し、必要に応じて専門的なフォレンジック調査を実施することが重要です。

2023年にもPaperCutはランサムウェア攻撃で悪用

PaperCut製品が実際の攻撃で狙われたのは今回が初めてではありません。2023年にはPaperCut MFとPaperCut NGの脆弱性CVE-2023-27350が実際の攻撃で悪用され、複数の脅威アクターによる侵入活動が確認されました。CVE-2023-27350はCVSS 9.8と評価された重大な脆弱性で、当時もインターネット上へ公開されたPaperCutサーバーが標的となりました。

The Hacker Newsによると、2023年の攻撃ではロシア系の脅威アクターに加え、金銭目的で活動するとされるLace TempestもPaperCutを悪用し、Cl0pやLockBitランサムウェアの展開につながった事例が報告されています。ただし、今回のCVE-2026-81578とCVE-2026-82078を悪用している攻撃者が同じ組織であることや、今回もランサムウェアが配布されていることを示す情報は確認されていません。

重要なのは、PaperCut Application Serverのような業務基盤がインターネットから直接アクセスできる状態では、脆弱性が公開された直後から攻撃対象になりやすい点です。印刷管理システムは通常のWebサービスと比べて更新状況が見落とされることもありますが、企業ネットワーク内部に設置され、ユーザー情報や認証基盤と連携している場合もあります。

今回のゼロデイ攻撃を受け、PaperCut NG/MFを利用する組織では、緊急パッチを適用するだけでなく、管理インターフェースの公開範囲、ファイアウォール設定、監視体制、ログ保全、インシデント対応手順まで含めて見直すことが重要です。

参考文献・記事一覧

• The Hacker News「PaperCut Zero-Day Exploited in Attacks, Affecting All NG and MF Versions」
• PaperCut「URGENT Security Advisory: PaperCut NG/MF Security Bulletin (27 Aug 2026)」
• PaperCut「Security Vulnerability Log」
• CVE Program「CVE-2026-81578」
• CVE Program「CVE-2026-82078」
• Huntress「PaperCut Zero-Day: Active Exploitation and Pre-Auth RCE」
• The Hacker News「Attackers Chain Two PaperCut Flaws to Execute Code Without Authentication」

投稿者プロフィール

CyberCrew（サイバークルー）

CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）

最新の投稿

• 2026.09.07印刷管理サーバーを狙うゼロデイ攻撃、PaperCutが緊急パッチを公開
• 2026.09.06cPanel・WHMの全サポート版に影響、CVE-2026-65643でroot権限奪取のおそれ
• 2026.09.05ルーター購入時から危険な機能が存在か　ZBT製品で2件の重大脆弱性が報告
• 2026.09.04ownCloudの認証回避脆弱性「CVE-2023-49105」が悪用、機密ファイル176件が窃取