印刷管理ソフトウェアのPaperCut NGとPaperCut MFで、認証なしの攻撃者が設定を変更し、任意のJavaコード実行へつなげられる脆弱性が実際の攻撃に使われています。
PaperCutの緊急セキュリティアドバイザリは全バージョンを潜在的な影響対象とし、v24、v25、v26向けのEmergency Patch Release 2を公開しました。
インターネットから到達できるApplication Serverは、信頼できるIPアドレスだけに直ちに制限し、更新と並行して侵害の有無を調べる必要があります。
確認された事象と現在の対応状況
PaperCutは2026年8月27日、PaperCut NG/MFの脆弱性が実悪用され、顧客環境でインシデントを確認したと公表しました。
その後、8月28日に追加の防御強化を含むEmergency Patch Release 2を公開し、先に最初の緊急パッチを適用した利用者にもRelease 2への更新を推奨しています。
ただし、この緊急パッチは通常のリリース工程を完了した公式リリースではありません。
8月30日付のアドバイザリでは、公式リリースに向けた作業が続いているほか、外部データベースを使うカード番号検索やSAMLで更新後の不具合報告を調査していると説明されています。
更新を遅らせる根拠にはなりませんが、適用後に認証連携と業務機能を確認し、PaperCutの更新情報を継続して追う必要があります。
2件の脆弱性が攻撃経路を作る
| 識別子 | 内容 | 公表された深刻度 |
|---|---|---|
| CVE-2026-81578 | Web管理画面のアクセス制御不備です。特定の条件で、認証前の遠隔リクエストが管理機能のバックエンド処理を動かし、一部のシステム設定を変更できます。 | CVSS v4.0で8.8（High） |
| CVE-2026-82078 | データベース接続機能が、許可されたドライバーかを確認せず動的にクラスを読み込む問題です。攻撃者が設定値を操作できると、PaperCutサーバープロセスの権限で任意のJavaバイトコードを実行できます。 | CVSS v4.0で9.4（Critical） |
この2件を個別に見るだけでは、現実の危険を過小評価します。
Huntressの直接観測と技術検証では、認証前に設定を奪取し、任意コード実行へ至る一連の攻撃を再現しています。
同社は顧客環境2件で悪用を観測し、攻撃者が利用者名、Windowsのバージョン、実行中のプロセスを調べるコマンドやJavaクラスファイルを使ったと報告しました。
一方、攻撃者の正体や被害の総数は確定していません。
限られた観測件数を根拠に、攻撃が小規模だと判断することもできません。
管理者が優先する5つの対応
- 外部公開を止める：Application ServerのWeb画面を信頼できる社内IPアドレスや管理用経路だけに制限します。業務上必要な場合でも、公開インターネットから直接到達させる構成は外します。
- 証拠を先に保全する：更新や再起動によって記録が変わる前に、PaperCutのログディレクトリ、ファイルの時刻情報、現在の設定、EDRのプロセスツリー、WAF、DNS、ファイアウォール、ネットワークフローの記録を退避します。
- Release 2を適用する：v24、v25、v26はPaperCut公式ページから対象製品とOSに合うRelease 2を取得し、公開されたSHA-256チェックサムを照合します。Site Serverとセカンダリサーバーもパッチ済みバージョンへそろえます。
- 侵害指標を横断検索する：PaperCutのログだけでなく、端末監視、ネットワーク監視、サービス登録、遠隔操作ソフトウェアの導入履歴を同じ時間軸で確認します。
- 業務機能と再発防止を確認する：更新後は印刷だけでなく、SAML、外部カード番号検索、管理者ログイン、Site Serverとの連携を試験します。そのうえで、管理画面の公開理由と恒久的なアクセス制御を見直します。
v23以前について、PaperCutは最新バージョンへの更新を推奨しています。
影響が疑われる環境では、稼働を優先して古い系統を残す判断より、ベンダーと保守担当者を交えて安全な移行経路を決める必要があります。
侵害調査で確認する痕跡
侵害指標（IoC）とは、攻撃を受けた可能性を調べるためのログ、ファイル、プロセスなどの手掛かりです。
PaperCutは次の確認項目を公開しています。
pc-app.exeを起点とする不審な子プロセスや遠隔操作ツールの実行server.logの欠落、予期しない短縮、削除DB URL: jdbc:derby:memory:pwn;create=trueなど、アドバイザリに掲載されたデータベース関連の文字列server/lib配下の不審なJavaクラスファイルと、server/data/content配下の対応するコマンドファイルや出力ファイル- SimpleHelpのサービスや、想定外のAnyDesk導入を含む遠隔操作手段
これらが見つからなくても、未侵害とは断定できません。
攻撃でログや生成ファイルが削除される可能性があり、PaperCut自身も指標の不在は安全の証明にならないと注意しています。
外部公開されていた期間を特定し、その期間のネットワーク記録、認証記録、ファイル作成、サービス登録を突き合わせる調査が必要です。
更新と侵害対応を分けない
パッチは今後の悪用経路をふさぐ対策ですが、更新前に侵入された事実までは消せません。
公開サーバーで痕跡が見つかった場合や、十分なログを確保できない場合は、認証情報の変更、遠隔操作手段の排除、関連システムへの横展開確認をインシデント対応計画に組み込みます。
PaperCutは侵害が疑われる場合、現在のバックアップを確保したうえでApplication Serverを消去して再構築し、不審な動作より前のクリーンなバックアップから復元することも推奨しています。
実施範囲は環境ごとに異なるため、組織のセキュリティ責任者、保守事業者、デジタルフォレンジック担当者が証拠保全と復旧の順序をそろえるべきです。
編集部の見解
今回の事案から得られる実務上の教訓は、管理画面を公開しないという基本策と、更新前に証拠を残す手順を同じ運用に置くことです。
緊急時に担当者が迷わないよう、対象サーバー、責任者、ログの保存先、遮断方法、復旧判定を平時の手順書に書き、短い演習で確かめておけば初動は速くなります。
ベンダーと研究者が更新情報や調査材料を段階的に公開している点も、防御側が早く動くための前向きな材料です。
現時点の情報を固定的な結論にせず、公式アドバイザリの更新を運用チケットに取り込み、対応完了まで追跡する姿勢が組織の回復力を高めます。
よくある質問
インターネットに公開していなければ更新は不要ですか
不要とは言えません。
公開範囲の制限は緊急の緩和策であり、脆弱性そのものを修正しません。
信頼済みネットワークからの侵入や設定変更の可能性も考え、対象バージョンの更新計画を進めます。
最初の緊急パッチを適用済みなら対応完了ですか
PaperCutは、最初の緊急パッチを適用した環境にも追加の防御強化を含むRelease 2を推奨しています。
対象製品とOSを確認してRelease 2へ更新し、適用後の機能試験と侵害調査を続けます。
IoCが見つからなければ安全ですか
安全とは断定できません。
ログやファイルが攻撃中に削除される可能性があるため、複数の記録を突き合わせ、外部公開期間と不審な通信の有無を確認します。
参考情報
この記事に関連する株式会社greedenの取り組み
緊急パッチ対応は、公開範囲の把握、ログ保全、復旧後の再発防止まで一つの運用に結び付けてこそ機能します。株式会社greedenは、Webシステム開発を通じ、継続して改善できる業務基盤づくりを支援しています。