印刷管理サーバPaperCutの認証欠落と安全でないクラスロードが連鎖する事前認証RCE(CVE-2026-81578、CVE-2026-82078)

2026年8月27日の午前9時42分(オーストラリア東部標準時)、PaperCut Softwareのもとに、教育分野の顧客から自組織のPaperCut MFサーバが侵害されたようだという報告が届きました。同社は正午までにこれを最優先のインシデントとして扱うことを決め、ゼロデイの悪用が現に進行しているという前提で対応を始めます。その日のうちに緊急のセキュリティ速報が公開され、翌未明には最初の緊急パッチが出ました。

問題になったのは2件の脆弱性です。CVE-2026-81578はWeb管理インターフェースの不適切なアクセス制御で、未認証のリモート要求がアクセス検証の完了前にバックエンドの処理を起動しうるというもの。CVE-2026-82078はデータベース接続まわりの部品が、設定で指定されたドライバ名を検証せずにJavaのクラスを読み込むというものです。単独では、片方は設定を少し変えられるだけ、もう片方は管理権限が前提という評価になります。ところが二つを順に使うと、資格情報も利用者の操作もないまま、PaperCutサーバのプロセス権限で任意のコードが動く経路ができあがります。

この事案が印象に残るのは、狙われたのが境界の防御装置でも仮想化基盤でもなく、印刷管理サーバだったからです。印刷は社内で最も地味な業務基盤の一つで、資産台帳から漏れていることも珍しくありません。それでいてPaperCutのアプリケーションサーバはディレクトリサービスと連携し、多くの環境でWindowsのSYSTEM権限に相当する強い権限で動いています。しかも在宅勤務や多拠点運用の都合で、Web管理画面をインターネットに向けて公開したまま運用されている例があります。CISAは2026年8月31日にこの2件をKEVカタログへ追加し、是正期限を9月14日に設定しました。

以下では、二つの欠陥の仕組みとつながり方、修正の提供状況、そして印刷サーバを運用する組織がいま確認すべきことを、ベンダーの公式アドバイザリとNVD、CISA、Huntressの公開情報にもとづいて整理します。

印刷管理サーバが侵入口として選ばれる理由#

PaperCut NG/MFは、印刷ジョブの集約と課金、部門ごとの利用状況の集計、複合機での認証と出力の解放などを担うオンプレミス型の印刷管理ソフトウェアです。中心となるのがApplication Serverと呼ばれるJava製のサーバプロセスで、Windows環境では pc-app.exe として動きます。Huntressが公開した検証では、この連鎖を通じて起動されたプロセスが pc-app.exe の子としてSYSTEM権限で動いていました。このサーバでのコード実行は、そのままホストの最高権限に届きます。

権限の強さに加えて、利用者の一覧とその所属、ディレクトリサービスとの連携設定、外部データベースへの接続情報といった情報も集約されています。それでいて印刷サーバは、脆弱性管理の対象から抜け落ちやすい部類に入ります。導入を主導したのが総務部門だったり、複合機ベンダーの提案でまとめて入っていたりして、ITの資産台帳に載っていないことがあります。バージョンアップの主導権が販売代理店側にあり、社内では誰も版数を把握していないという状態も起こります。Huntressが追跡している約2,500件の導入環境のうち、47パーセントが緊急パッチの提供対象外であるv23以前で稼働していたと同社は報告しています。同社の観測範囲での構成比ではありますが、更新されないまま動き続けている環境が相当数あることを示す数字です。

さらに、リモート印刷や複数拠点の集中管理といった要件から、管理画面がインターネットに向けて開いている環境が存在します。アドバイザリの冒頭にある指示が、パッチの適用ではなく「公開されているなら直ちに信頼できるIPアドレスだけに制限せよ」である点は、公開状態が被害の広がりを左右することを示しています。ただし非公開の環境が対象外になるわけではありません。侵害された社内端末や委託先の経路からApplication Serverへ届けば悪用は成立します。到達範囲を絞る措置は時間を稼ぐためのもので、修正版の適用に代わるものではありません。

境界に置かれた装置や管理用のサーバが繰り返し標的になる構造は、次の記事で扱っています。

認証の判定が終わる前にバックエンド処理が走る仕組み#

CVE-2026-81578の分類は、CISAのKEVカタログとベンダーのアドバイザリではCWE-306、重要な機能に対する認証の欠如です。NVDに登録されたCNAの評価ではCWE-305として記録されており、いずれも認証や認可の判定を通らずに機能へ手が届くという性質を指します。NVDの説明は、特定の条件下で、管理機能を狙った未認証のリモート要求が、アクセス検証チェックの完了前にバックエンドの処理を起動しうると記載しています。結果として、未認証のリモート攻撃者が一部のシステム設定を変更できます。

この一文だけでは掴みにくいので、Huntressが公開した機構の説明を補います。同社によれば、修正前のPaperCut NG/MFでは、細工された一つの要求の中で、応答としてレンダリングされるページと、実際に処理を担うコンポーネントを所有するページとを別々に指し示すことができました。認可のチェックはレンダリング対象のページを信頼してしまい、その裏で動くコンポーネントが本来求めるはずの権限を見落とします。表向きは誰でも見られる画面を返しながら、内部では管理者向けの処理が走るという構図です。

この種の食い違いは、画面の描画と処理の実行を別々の仕組みで解決するWebフレームワークで起こりがちです。認可はリソースと操作の組に対して判定すべきで、画面の識別子に紐づけると、識別子と処理の対応がずれた瞬間に効かなくなります。CVSS v4.0の影響側が機密性は低く完全性は高いという配分になっているのも、書き換えられる範囲の大きさを反映したものです。

NVDのCVE-2026-81578のページは、PaperCut MF/NGのWeb管理インターフェースに不適切なアクセス制御の脆弱性が存在し、特定の条件下で未認証のリモート要求がアクセス検証チェックの完了前にバックエンドの処理を起動して、一部のシステム設定を変更できると記載しています。CVSS v4.0はCNA評価で8.8(HIGH)、ベクトルはCVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:L/SC:N/SI:N/SA:N、NVDが付与したCVSS v3.1は9.8(CRITICAL)でベクトルはCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hです。公開日は2026年8月28日です。

ドライバ名を検証せずにクラスを読み込む仕組み#

もう一方のCVE-2026-82078は、CWE-470、外部から制御される入力を使ってクラスやコードを選択する欠陥に分類されます。通称は安全でないリフレクションです。NVDの説明によれば、データベース接続ユーティリティは、設定可能なドライバ名にもとづくクラスを、承認済みドライバの許可リストで検証せずにインスタンス化します。攻撃者がシステム設定のパラメータを操作できる場合、クラスパス上の任意のJavaバイトコードが、PaperCutサーバプロセスのセキュリティコンテキストで実行されます。

JavaでJDBCのドライバを名前から読み込む実装自体は、ごく一般的なものです。設定に書かれたクラス名をリフレクションで解決すれば、データベースの種類を設定だけで切り替えられます。この設計が成り立つのは、クラス名を書き換えられるのは管理者だけだという前提があるからです。前提が崩れると、クラス名を指定する機能はそのまま「クラスパス上の任意のコードを名指しで起動する機能」に変わります。

ベンダーのアドバイザリとHuntressの調査からは、この経路が認証カードやID番号を外部データベースから照会する機能に関係していたことが読み取れます。侵害された環境の server.log には、外部照会の失敗を示す ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST や、不自然な接続文字列を示す ERROR No suitable driver found for jdbc:no:x といった行が残っていました。ベンダーはRelease 2以降、この機能を使う場合に server/security.properties へ security.card-number-lookup.enabled=Y の追加を求め、既定値を無効へ変更しています。

CVSS v4.0の評価は9.4(CRITICAL)で、PR:Hが付いているとおり、単独で成立させるには高い権限が必要でした。NVDが付与したCVSS v3.1は9.1で、スコープ変更(S:C)が付いています。影響が脆弱な部品とは別のセキュリティ権限の範囲にまで及ぶという判断で、クラスパス上の任意のバイトコードがサーバプロセスの権限で動くという実態に対応します。プロセスに与えられたOS権限を超えて昇格するという意味ではありません。

NVDのCVE-2026-82078のページは、PaperCut MF/NGのデータベース接続ユーティリティに安全でない動的クラスロードの脆弱性が存在し、設定可能なドライバ名にもとづくクラスを許可リストで検証せずにインスタンス化すると記載しています。攻撃者がシステム設定パラメータを操作できる場合、クラスパス上の任意のJavaバイトコードをPaperCutサーバプロセスのセキュリティコンテキストで実行できるとしています。CVSS v4.0はCNA評価で9.4(CRITICAL)、ベクトルはCVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H、NVDが付与したCVSS v3.1は9.1(CRITICAL)でベクトルはCVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:Hです。弱点はCWE-470です。

二つが連鎖して事前認証RCEになる筋道#

二つを並べると、連鎖の形が見えてきます。CVE-2026-82078が要求する前提は「攻撃者がシステム設定のパラメータを操作できること」、CVE-2026-81578がもたらす結果は「未認証のリモート攻撃者が一部のシステム設定を変更できること」です。前者の前提を後者がそのまま満たします。認証を通らずに設定へ書き込んでドライバ名を差し替え、接続処理を起動させると、指定されたクラスがロードされてサーバプロセスの権限で動きます。CISAのKEVカタログも、両方のエントリの説明文にもう一方と連鎖しうると明記しています。

ただし、この2件だけで任意のコードが生まれるわけではありません。CVE-2026-82078が実行できるのは、CVEレコードの記述どおりアプリケーションのクラスパス上に存在するJavaバイトコードです。攻撃者が自前のコードを動かすには、その前に対象のクラスを配置する段階が要ります。ベンダーの公式ブログは、実際の攻撃が製品中核の認証バイパスに始まる多段の連鎖であり、外部データベースからカード番号を照会する使用頻度の低い機能を足がかりに、データベースドライバの挙動と任意のファイル書き込み、そしてJavaのクラスロードを組み合わせて攻撃者自身のペイロードを配置し実行したものだと説明しています。完全な技術的再構成は、公開しても新たなリスクを生まない時点で出す方針とされており、執筆時点では公開されていません。

Huntressは、公開されていた版であるPaperCut NG 25.0.11.75758の素の導入環境に対して、事前認証での設定乗っ取りと完全なリモートコード実行の連鎖を再現したと公表しました。検証では、遠隔のホストから起動した処理が pc-app.exe の配下にSYSTEM権限のプロセスとして現れています。資格情報も利用者の操作も不要で、到達可能なアドレスがあれば成立する形です。

実際の攻撃でも同じ経路が使われました。同社が2件の顧客環境で確認した侵害では、server.log にbase64で符号化された文字列が複数回記録され、復号すると whoami & ver という2つの命令が連結された内容でした。利用者アカウントとOSの版を確かめる典型的な下見で、1件目の活動は合計で2分に満たない短さでした。同じログには16進数で符号化されたJavaのクラスファイルも残っており、インストールディレクトリ配下の lib/ に5文字程度の名前で書き出され、実行後には自身の出力ファイルと server.log そのものを削除するように作られていました。

この連鎖には、脆弱性管理の実務に効く含意があります。CVE-2026-82078のPR:Hという条件は、単体で見たときの前提でしかなく、同じ製品に権限の前提を外す別の欠陥があれば消えます。スコアを機械的にしきい値で切って優先順位を決める運用は、こうした組み合わせを取りこぼします。同一製品に同時に公表された複数のCVEは、まとめて一つの経路として読むほうが実態に近づきます。

影響を受ける版と修正の提供状況#

ベンダーのアドバイザリは、この勧告がPaperCut NGとPaperCut MFの全バージョンに適用されると明記しています。緊急パッチが用意されたのはv24、v25、v26の3系列で、v23以前については、FAQで「v24より前のすべての利用者に推奨する道は最新版へのアップグレード」と述べられており、修正は提供されていません。

一方、NVDに登録されたCPEの範囲は、24.1.9未満、25.0.2以上25.0.12未満、26.0.2以上26.0.4未満です。一方でCNAが登録したCVEレコード本体は、影響範囲を24.1.10と25.0.13と26.0.5のいずれか未満と記載しており、NVDのCPEとは境界が一致しません。加えて緊急パッチのRelease 2とRelease 3は、バージョン番号ではなくビルド番号で提供されています。公開情報の版数表記だけでは適用状況を判定できないため、判定はアドバイザリに掲載されたビルド番号で行います。2026年9月1日午後6時22分(オーストラリア東部標準時)に公開されたEmergency Patch Release 3のビルド番号は次のとおりです。

適用の範囲についても、アドバイザリのFAQに指示があります。Site Serverと二次的な印刷サーバも修正済みの版へ更新する必要があり、主となるApplication Serverだけでは足りません。反対に、Mobility PrintとPrint Deployのサーバ部品と利用者向けクライアントは影響を受けず、更新は不要とされています。クラウド型のPaperCut HiveとPaperCut Pocketはこの勧告の対象外です。Release 3は累積的な内容のため、以前のパッチを順に当てる必要はありません。

PaperCutの緊急セキュリティ勧告(2026年8月27日)は、悪用が現に発生しており顧客のインシデントが確認されていると記載しています。即時の対応として、Application Serverがインターネットから到達可能な場合は、ファイアウォールのルールやネットワークアクセス制御によって、信頼できるIPアドレスからのみWebインターフェースへ到達できるよう直ちに制限することを求めています。CVE-2026-82078はCWE-470でCVSS v4.0が9.4(CRITICAL)、CVE-2026-81578はCWE-306でCVSS v4.0が8.8(HIGH)として掲載され、いずれもEmergency Patch(Release 3)で緩和済みとされています。勧告はPaperCut NGとPaperCut MFの全バージョンに適用され、Release 3は2026年9月1日午後6時22分(AEST)に公開されたRelease 2の置き換えの累積版です。

緊急パッチが3回出た経緯#

この事案で注意したいのが、緊急パッチが短期間に3回出ている点です。ベンダーのアドバイザリに残る更新履歴と公式ブログの記述から時系列を整理します。日時はオーストラリア東部標準時です。

Release 2が出た理由は、最初の緊急パッチに回避方法が見つかったことです。ベンダーは謝辞の中で、HuntressとwatchTowrの継続的な分析がRelease 2のハードニングに寄与したと述べています。Release 3では、追加のハードニングと攻撃連鎖への緩和に加えて、Release 2で生じた2件の不具合、すなわちSAMLによるログインの動作不良と、外部カード照会でのレガシーなMicrosoft SQL Serverドライバが使えなくなった問題が修正されました。

PaperCutは公式ブログで、悪用が進行している状況では完成度の高い修正を待つよりも有効な緩和を早く届けることを選んだと説明しています。古い系列にも緩和を移植し、緊急のメジャーバージョンアップを利用者に強いない形もとりました。

運用側にとっての教訓は単純です。緊急パッチは当てたら終わりの作業ではありません。悪用が続く脆弱性の修正は数日のあいだに複数回更新されることがあり、適用の記録を残したうえで、公開から少なくとも1週間程度はベンダーのアドバイザリを再確認する運用が要ります。

修正が公開された脆弱性を後回しにしたときに起きることは、次の記事で扱っています。

PaperCutの公式ブログ記事は、2026年8月27日午前9時42分(AEST)に教育分野の顧客からPaperCut MFサーバが侵害されたとみられる報告を受け取り、正午までに最優先のインシデントとして宣言して、実環境での悪用を伴うゼロデイに直面しているという前提で対応したことを記載しています。対応は攻撃の再現、緩和策の作成、パッチ開発、テスト、顧客への連絡、公開状態のサーバの特定という並行した流れに分かれ、利用状況や公開スキャン情報を用いて連絡の優先順位を決めたとしています。悪用の確かな証拠がある場合は、完全な修正を待つより先に緊急の緩和を提供する方針であるとも述べています。

KEV収録と是正期限が拘束する範囲#

CISAは2026年8月31日、この2件をKEVカタログへ追加しました。是正期限はどちらも2026年9月14日、ランサムウェアキャンペーンでの利用はUnknownと記載されています。

この期限が直接拘束するのは、CISAのBOD 26-04にもとづく米国の連邦文民行政機関です。CISAのアラートも、BOD 26-04が適用されるのは同機関に限られるとしたうえで、すべての組織にリスクベースの脆弱性管理とKEV掲載分の優先的な是正を推奨する書き方をしています。日本の組織に9月14日という日付が法的に課されるわけではありません。それでも、KEVに載っているという事実は、その脆弱性が現に悪用されている証拠であり、社内で対応順を決めるときの根拠になります。

もう一つ、優先度を押し上げる材料があります。NVDの参照情報には、Metasploit Frameworkへこの連鎖を扱うモジュールを追加する提案が並んでいます。提案は執筆時点でまだ取り込み前の状態ですが、PaperCut MFとNGのv24からv26を対象とし、最初の緊急パッチを回避できることとRelease 2で塞がれたことに触れています。攻撃の道具が広く使える形で整理されれば、標的を選ばない探索や悪用が増える可能性があります。限定的で標的を絞った攻撃という初期の観測が、そのまま維持されるとは限りません。

KEVとEPSSを組み合わせて社内の適用順を決める考え方は、次の記事で整理しています。

CISAのKEVカタログは、CVE-2026-81578を「PaperCut NG/MF Missing Authentication for Critical Function Vulnerability」(CWE-306)、CVE-2026-82078を「PaperCut NG/MF Unsafe Reflection Vulnerability」(CWE-470)として収録しています。いずれも追加日は2026年8月31日、Due Dateは2026年9月14日、ランサムウェアキャンペーンでの利用はUnknownで、両エントリの説明にはそれぞれもう一方のCVEと連鎖しうると明記されています。求められる措置はベンダーの指示に従った緩和と、BOD 26-04およびForensics Triage Requirementsへの準拠です。

侵害の可能性を確認するときに見る場所#

パッチの適用は新たな侵入を止めますが、すでに置かれた仕掛けは残ります。8月26日には悪用が観測されていたため、それ以前からインターネットに面してPaperCutを運用していた環境は、踏まれている可能性を前提に確認します。ベンダーとHuntressが公開した痕跡を整理すると、次の観点になります。

ベンダーは、これらのファイルが攻撃者によって片付けられる場合があるため、痕跡が見当たらないことは侵害されていないことの確認にはならないと明記しています。Huntressの報告でも、実行後に自身の出力と server.log を削除する動きが確認されました。一方で data/internal/derby.log は削除されておらず、そこに残った起動記録が有力な手がかりになったとされています。消しにくいログを別に持っておくことの価値がよく分かる例です。

ベンダーが公開した侵害後の活動の例では、最初の下見のあと、リモート操作用のエージェントを常駐サービスとして導入し、さらに別のリモートデスクトップ製品を持ち込む流れが30分に満たない時間で記録されています。正規のリモート管理ツールが使われるため、名前や署名だけでは判別できません。導入の経緯が運用の記録と一致するかで判断します。

痕跡を探す前に、まず証拠を保全します。Huntressが挙げている優先対象は、server/logs ディレクトリ一式とファイルのメタデータ、既定から変更された設定、pc-app.exe を親とするプロセスツリー、リバースプロキシやファイアウォールの記録、直近に作成されたサービスやスケジュールタスクです。更新や再起動はこれらの状態を変えるため、順序を誤らないようにします。侵害が確認された場合のベンダーの推奨は、現在のバックアップを確保し、Application Serverを完全に消去して再構築したうえで、不審な挙動が観測される前のクリーンなバックアップから復元する、というものです。

侵害を検知したあとの初動の組み立ては、次の記事で整理しています。

パッチを当てるまでのネットワーク側の緩和#

ベンダーがアドバイザリの最上段に置いた指示は、パッチではなく到達性の制限でした。Application Serverが公開インターネットから到達できる場合は、ファイアウォールのルールやネットワークアクセス制御などを用いて、Webインターフェースへの到達を信頼できるIPアドレスだけに直ちに制限するよう求めています。不審な活動を観測していなくても今すぐ実施せよ、という書き方です。緊急パッチは通常のリリース工程を経ずに出されたうえ、回避方法が見つかって差し替えが続きました。パッチの有効性が確定していない期間でも、到達できなければ攻撃は成立しません。

対応の順番を整理すると次のようになります。

管理インターフェースを業務セグメントやインターネットから直接触れない位置に置くという設計の考え方は、次の記事で扱っています。

印刷サーバを資産管理から漏らさないための備え#

この種の事案で対応の速さを決めるのは、技術力よりも先に「自組織にその製品があるかどうかを即答できるか」です。台帳に登録すべき項目は、製品名、メジャー版とビルド、稼働ホスト、公開範囲、導入と保守の窓口、社内の担当者の6つです。ここが埋まっていれば、アドバイザリが出た日に影響の有無を判断できます。版数の把握を代理店だけに委ねると、緊急時の確認に相手先の営業時間が挟まります。

次に、サポート期限の管理です。Huntressの追跡環境の47パーセントがv23以前という数字は、その観測範囲で更新されないまま動き続けている環境が多いことを示しています。今回はその範囲にインプレースの緊急パッチが提供されず、最新版へ移行するまでは到達性の制限を続けるほかありませんでした。あわせて、サーバプロセスが同じ資格情報でどこまで手を伸ばせるかも把握しておきます。ドメイン管理者に近い権限のサービスアカウントで動いていれば、影響範囲は印刷サーバの中で終わりません。

監視の当て方も見直す価値があります。今回の痕跡で最も分かりやすいのは、pc-app.exe がコマンドシェルを子プロセスとして起動したという事象でした。印刷管理サーバがコマンドシェルを起動する正当な理由は、通常の運用にはほとんどありません。エンドポイント防御の警告を、その製品が入っていることを理由に例外扱いしていないかを確認します。実際、防御が動作して以降の実行を妨げ、端末を隔離した事例もベンダーの記録に残っています。あわせてログの保全先も見直します。今回の攻撃は server.log を消しており、ログが同じホストにしかない構成では侵害の記録がそのまま消えます。外部のログ基盤へ転送していれば、削除されても手元に残ります。

まとめ#

CVE-2026-81578はWeb管理インターフェースの認可の判定が処理の起動に先んじないという欠陥、CVE-2026-82078はデータベースドライバのクラス名を許可リストで検証しないという欠陥です。個々に見れば、片方は設定を書き換えられるだけ、もう片方は管理権限が前提という評価になります。二つを順に使うと、設定を書き換えられることがクラス名を書き換えられることになり、それがサーバプロセスの権限での任意コード実行になります。資格情報も利用者の操作も要らない連鎖が、印刷管理サーバの上に出来上がりました。

対応で先にすべきことは、パッチよりも到達性の確認です。ベンダー自身が最初の指示として、公開されているなら直ちに信頼できるIPアドレスへ制限せよと書いています。緊急パッチはRelease 1からRelease 3まで短期間に差し替えが続き、そのあいだ修正の有効性は確定していませんでした。到達できない場所に置くことは、修正の完成度に依存しない防御です。

地味で目立たない基盤ほど、資産台帳から漏れ、版が古いまま動き続け、公開されたままになりがちです。これらの条件がそろうほど被害を受けやすくなります。攻撃者や動機についてはベンダー自身も把握していないと述べており、標的の選ばれ方は公開されていません。自組織にPaperCutがあるか、版はいくつか、外から見えるか。この3つに即答できる状態を作っておくことが、次の同種の事案に対する準備になります。