PaperCut NG/MF の RCE 脆弱性｜2 件の CVE と対応手順

はじめに

PaperCut NG/MF は、印刷ジョブの集計・課金・セキュアプリントリリースを担う印刷管理サーバーです。Active Directory や外部データベース、複合機と連携し、Application Server がドメイン内の中枢に近い位置へ配置されている環境も少なくありません。そのため、この製品の侵害は「印刷が止まる」だけの問題では収まりません。

2026 年 8 月 27 日、PaperCut Software は実際の顧客環境での悪用を確認したとして緊急のセキュリティ Advisory を公開しました。その後、2 件の CVE が採番され、両者を組み合わせることで認証前のリモートコード実行に至ることが明らかになっています。両 CVE は CISA の Known Exploited Vulnerabilities（KEV）カタログにも登録されました。

結論から述べます。PaperCut NG/MF を利用している場合、最初に確認すべきは Application Server の Web インターフェイスがインターネットから到達可能かどうかです。到達可能であれば、信頼できる IP アドレスだけに制限する対応を、パッチ適用より先に着手することが推奨されます。そのうえで Emergency Patch Release 2 を適用します。外部公開の履歴がある環境では、パッチ適用と侵害調査を別の作業として扱う必要があります。

本記事は 2026 年 9 月 1 日（JST）時点で確認できた公開情報にもとづいています。PaperCut の Advisory は更新が継続しており、修正版の提供状況や侵害指標が変わる可能性があるため、対応時には公式 Advisory の最新の記載を確認してください。

CVE-2026-81578 と CVE-2026-82078 の概要

2 件の CVE は、いずれも PaperCut が CNA として採番したものです。役割が異なり、単体で見た場合の深刻度も異なります。まず、それぞれが何をする脆弱性なのかを分けて把握することが、影響判断の出発点になります。

CVE-2026-81578: 認証なしでのシステム設定変更

CVE-2026-81578 は、PaperCut MF/NG の Web 管理インターフェイスにおけるアクセス制御の不備です。PaperCut の説明によれば、特定の条件下で、管理機能を対象とした未認証のリモートリクエストが、アクセス検証の完了前にバックエンドの処理を起動し得るとされています。結果として、認証なしのリモート攻撃者が一部のシステム設定を変更できます。

この脆弱性の単体での影響は「設定の改ざん」であり、コード実行そのものではありません。CVSS v4.0 の値でも、機密性への影響は Low、可用性への影響も Low にとどまり、完全性への影響のみが High と評価されています。

CVE-2026-82078: ドライバー名を介した unsafe dynamic class loading

CVE-2026-82078 は、データベース接続処理に存在する unsafe dynamic class loading（unsafe reflection）の問題です。PaperCut は、設定可能なドライバー名にもとづいてデータベースドライバークラスを生成する際、承認済みドライバーの許可リストと照合していなかったと説明しています。

参考: CVE Record（CVE-2026-82078、CNA: PaperCut）
“instantiates database driver classes based on configurable driver names without validating against an allowlist”
（設定可能なドライバー名にもとづいてデータベースドライバークラスを生成し、許可リストとの照合を行わない）
https://www.cve.org/CVERecord?id=CVE-2026-82078

攻撃者がシステム設定パラメーターを操作できる状態にある場合、アプリケーションのクラスパス上に存在する任意の Java バイトコードが、PaperCut サーバープロセスのセキュリティコンテキストで実行され得ます。ここで重要なのは、この脆弱性が単体で成立するには「設定を操作できる状態」という前提が必要という点です。

2 件の CVE の違い

なお、CVE-2026-81578 の CWE 分類は出典によって表記が異なります。CVE Record の CNA コンテナは CWE-305（Authentication bypass by primary weakness）、PaperCut 公式 Advisory は CWE-306、CISA KEV のエントリ名称は「Missing Authentication for Critical Function Vulnerability」です。同じ PaperCut を出典とする情報のあいだでも表記が分かれているため、社内の脆弱性管理へ取り込む際は、どの出典の表記を採るかを決めておくと混乱を避けられます。

2 件を組み合わせた認証前 RCE と影響範囲

前節のとおり、CVE-2026-82078 の CVSS v4.0 ベクターは PR:H、つまり高い権限を必要とする評価です。一方で、この 2 件は「認証前 RCE」として報告されています。この一見矛盾する評価は、2 件がどう接続されるかを見ると整理できます。

1. CVE-2026-81578 により、認証を経ずに特定のシステム設定が変更される
2. 変更された設定が、CVE-2026-82078 のドライバークラス生成処理へ渡される
3. PaperCut Application Server のプロセス権限で Java バイトコードが実行され得る
4. 結果として、認証前のリモートコード実行が成立し得る

つまり、CVE-2026-82078 の PR:H が求める「設定を操作できる権限」を、CVE-2026-81578 が認証なしで供給してしまうという関係です。CVSS は個々の脆弱性を単体で評価する指標であるため、連鎖後の実際の攻撃条件は個別のベクターからは読み取れません。

参考: Huntress「PaperCut Actively Exploited: A Pre-Auth RCE Chain」
“Chained together these flaws enable pre-authentication remote code execution in the PaperCut Application Server.”
（これらの不具合を連鎖させると、PaperCut Application Server における認証前のリモートコード実行が可能になる）
https://www.huntress.com/blog/papercut-actively-exploited

Huntress は、実際の顧客環境 2 件で悪用の痕跡を確認したこと、および検証環境の PaperCut NG に対して認証前 RCE のチェーンを再現したことを公表しています。これは第三者研究者による観測・再現結果であり、PaperCut や CISA の公式見解とは区別して扱う必要があります。なお、本記事では攻撃リクエストやペイロードなど、悪用に直結する具体的な手順は扱いません。

影響を受けるバージョンと更新対象コンポーネント

PaperCut は、PaperCut NG/MF の全バージョンを潜在的な影響対象として扱っています。修正の提供状況はバージョン系列によって異なります。

最初の緊急パッチは v25 と v26 のみが対象で、v24 は Release 2 で追加されています。Huntress は、同社が把握する約 2,500 の PaperCut インストールのうち 47% が v23 以前であると報告しており、緊急パッチでは対処できない環境が相当数存在する可能性があります。

なお、CVE レコードの affected フィールドには複数系列の値が 1 つの項目へ並記されており、確定した修正版として読み取れる形式にはなっていません。更新の可否を判断する際は、PaperCut の Advisory とリリース履歴の記載を優先してください。

更新対象は Primary Application Server だけではありません。

インターネットに公開していない環境であっても、影響対象外と断定はできません。外部到達性は「攻撃が成立しやすいか」「どれだけ急ぐか」を判断する条件であり、脆弱性の有無そのものとは別の軸として扱うことをおすすめします。

CISA KEV 登録と対応優先度の考え方

CISA は 2 件の CVE を KEV カタログへ登録しています。KEV への掲載は実際の悪用が確認されたことを示す情報であり、CVSS 値とは独立した優先度の引き上げ条件として扱うのが実務的です。ただし、掲載されたからといって、すべての PaperCut 環境が侵害されたことを意味するわけではありません。

CISA が CVE レコードへ付与している Vulnrichment の SSVC 判定では、CVE-2026-81578 が Exploitation: active、Automatable: yes、Technical Impact: partial、CVE-2026-82078 が Exploitation: active、Automatable: no、Technical Impact: total と記録されています。Automatable は攻撃手順を自動化できるかどうかの評価であり、無差別なスキャンの観測状況を示す情報ではない点に留意が必要です。

CISA は 2026 年 8 月 31 日に 2 件の KEV 追加を告知しており、現行の KEV カタログにおける対応期限は 2026 年 9 月 14 日です。この期限は米国連邦文民行政機関（FCEB）に課されるものであり、日本国内の組織へ直接適用される期限ではありません。社内の対応期限は、自組織の外部公開状況とリスク評価にもとづいて設定することになります。

本件で優先度を決める材料は、CVSS 値そのものよりも、実悪用の確認、認証前 RCE という成立条件、外部公開の有無、KEV 掲載の 4 点です。

今すぐ実施する影響確認と緊急対応

ここからは実務の手順です。重要なのは順序で、外部公開の履歴がある環境では、証拠保全をパッチ適用や再起動より前に置く必要があります。

アクセス元の制限は攻撃経路を狭める措置であり、脆弱性そのものを修正するものではありません。また、すでに侵害された環境を元に戻すものでもありません。制限を入れたことで対応完了としないよう、パッチ適用と侵害調査を別のタスクとして管理することをおすすめします。

Emergency Patch Release 2 の適用と適用後の確認

Emergency Patch Release 2 は、最初の緊急パッチに対して追加のハードニングを加えたものです。PaperCut は、社内のセキュリティチームおよび Huntress・watchTowr を含む外部研究者との作業を経て、当初の緊急パッチを超える追加のハードニングを含むものとして公開したと説明しています。

ここで押さえておきたいのが、Release 2 が通常のリリース工程を経た正式リリースではないという点です。

参考: PaperCut「URGENT Security Advisory: PaperCut NG/MF Security Bulletin (27 Aug 2026)」
“We have not gone through our usual release process.”
（通常のリリースプロセスを経ていません）
https://www.papercut.com/kb/Main/security-bulletin-27-aug-2026-urgent-security-advisory/

PaperCut は、公開サーバーを持ち他の緩和策を取れない利用者向けの緊急パッチであると位置づけたうえで、正式リリースへ向けた作業を継続していると案内しています。したがって、最初の緊急パッチを適用済みの環境でも、Release 2 の適用が別途必要です。判断にあたっては、インストール済みのバージョンとビルドを記録し、PaperCut の Advisory で現在案内されている Release 2 の内容と照合します。照合で判別できない場合は、販売店または PaperCut Support へ確認してください。

緊急パッチのダウンロード URL と SHA-256 ハッシュは Advisory 上で提供されていますが、更新の可能性があるため本記事には転記しません。取得時は必ず Advisory の該当箇所から辿ってください。適用手順は公式の標準アップグレード手順に従います。Site Server と Secondary／Print Server への適用漏れが起きやすいため、棚卸しリストと突き合わせて確認することをおすすめします。

適用後に確認する機能と設定

今回の修正はデータベースドライバーの取り扱いに手を入れているため、周辺機能へ影響が出る可能性があります。適用後は次の観点で動作を確認します。

• 管理者および利用者のログイン（SSO を利用している場合は SSO 経由のログインも含む）
• 外部データベースを使った Card／ID 番号検索
• 印刷ジョブの受け付けとセキュアプリントリリース
• Site Server および Secondary／Print Server と Primary の連携

外部データベースから Card／ID 番号を検索する構成を使っている場合、パッチ適用後にこの機能が無効化されます。PaperCut は、利用者が限られる機能であるとしたうえで、必要な環境では server/security.properties へ次の設定を追加し、Application Server を再起動するよう案内しています。

security.card-number-lookup.enabled=Y

この設定を追加してもなお Card／ID 番号の検索が失敗する場合について、PaperCut は SQL Server と旧来の SourceForge 版 jTDS ドライバーの組み合わせを挙げ、サポート対象の最新の Microsoft SQL JDBC ドライバーへ更新することを推奨しています。ドライバーの更新手順は PaperCut のマニュアルに記載があります。

なお、SAML 認証に関する事象については、本記事の執筆時点で参照できた公開情報からは、PaperCut による原因および解決方法の確定情報を確認できませんでした。適用後に SSO でログインできない事象が発生した場合は、推測で設定を変更せず、Advisory の最新の記載と PaperCut サポートを確認することを推奨します。

侵害の痕跡を確認する方法と侵害時の対応

外部公開の履歴がある環境では、パッチ適用だけで対応完了とは言えません。PaperCut と Huntress が公開している調査の手掛かりを、確認対象の区分ごとに整理します。

プロセス

pc-app.exe（Linux・macOS では pc-app）から不審な子プロセスが起動していないかを確認します。PaperCut は、コマンドシェルの起動と、利用者名や OS 情報を取得する種類のコマンド実行を観測された挙動として挙げています。

ログ

server.log が欠落している、途中で切り詰められている、削除されているといった状態は手掛かりになります。PaperCut は Advisory で、server.log 内に現れる特徴的なエラー文字列を調査の手掛かりとして挙げています。

ファイル

server/lib 配下に想定外の .class ファイルが存在しないか、server/data/content 配下に対応する .cmd や .out ファイルが残っていないかを確認します。Huntress が観測した例ではファイル名が 5 文字でしたが、同社は名前が変わり得ると注記しています。

リモートアクセスツール

PaperCut は 2026 年 8 月 30 日の更新で、侵害後にリモートアクセスソフトウェアが導入される挙動を報告しています。Windows では「Remote Access Service」という名称のサービスと SimpleService.exe の存在、および想定外の AnyDesk のインストールが確認対象として挙げられています。

設定と外部連携

外部のユーザー情報検索に関する設定が変更されていないかを確認します。攻撃チェーンの起点が設定変更であるため、設定の差分自体が痕跡になり得ます。

周辺システム・ネットワークのログ

EDR の検知履歴、ファイアウォール、WAF、リバースプロキシ、DNS、通信フローのログを対象期間で確認します。EDR が実行を阻止し端末を隔離していた事例も報告されているため、検知が握りつぶされていないかの確認も含めます。

PaperCut が Advisory で挙げている server.log 内の文字列は次のとおりです。最後の行のドライバー名部分は環境ごとに異なるランダムな 5 文字であるため、そのままの文字列では一致しません。

ERROR No suitable driver found for jdbc:no:x
ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST
DB URL: jdbc:derby:memory:pwn;create=true
Database error looking up cardID: VALUES CAST(X'cafebabe
Database error looking up cardID: VALUES CAST('
DB URL: jdbc:no:x DB Driver: <5-char random name>

Huntress はこれに加えて、内部データベースのログに通常では現れない名称でデータベースが起動された記録が残る点を、確度の高い指標として報告しています。server.log が削除されていても、このログが残っている場合があります。これは第三者研究者による観測であり、PaperCut が公式に指標として掲載しているものとは分けて扱ってください。

これらの痕跡が見つからないことは、侵害されていないことの証明にはなりません。PaperCut 自身も、公開済みの指標が存在しないことをもって影響がないとは言えないと明記しています。指標は調査の起点であり、判断の終点ではないという前提で扱うことが必要です。

侵害が疑われる場合の対応

PaperCut は、侵害が疑われる場合の対応として次の流れを案内しています。パッチ適用による復旧では不十分という位置づけです。

1. 現在のサーバーバックアップと証拠を保全する
2. Application Server を完全に消去して再構築する
3. 不審な挙動が確認された時点より前のクリーンなバックアップから復元する
4. 組織のセキュリティ対応手順を起動し、標準のインシデント対応プロセスに従う

調査範囲は PaperCut サーバー単体にとどまりません。Active Directory や外部データベースと連携している環境では、PaperCut サーバーのネットワーク到達範囲、サービスアカウントの権限、保存された認証情報を確認し、横展開の有無を調査します。ドメイン全体への影響については、実際の権限と侵害後の挙動にもとづいて判断します。

なお、本記事の執筆時点で、攻撃者の主体、目的、被害件数、ランサムウェアの使用有無について確定した公開情報は確認できていません。これらを推測して対応範囲を狭めることは避け、確認できた挙動にもとづいて判断することを推奨します。

まとめ

CVE-2026-81578 と CVE-2026-82078 は、単体では性質の異なる 2 件の脆弱性ですが、組み合わせることで認証前のリモートコード実行に至ります。実際の悪用が確認され、両者とも CISA KEV に登録されている以上、CVSS 値の高低よりも、外部到達性と適用漏れの有無で優先度を決めるのが実務的です。外部公開の履歴がある環境では、パッチ適用と侵害調査を別の作業として最後まで進める必要があります。

• 認証なしの設定変更と unsafe dynamic class loading が連鎖する認証前 RCE
• PaperCut による実悪用の確認と、両 CVE の CISA KEV 登録
• 全バージョンが潜在的な影響対象で、Release 2 の提供は v24・v25・v26
• Primary だけでなく Site Server と Secondary／Print Server も更新対象
• Application Server の外部到達性の確認と、信頼できる IP への制限を最優先とする
• 公開履歴がある環境では、パッチ適用より前の証拠保全が必要
• 指標が見つからないことだけでは未侵害を証明できない点への留意

以上、最後までお読みいただきありがとうございました。