【緊急】PaperCut NG/MF CVE-2026-81578：緊急パッチRelease 3を今すぐ適用 — 悪用確認済みの認証回避からRCEへの連鎖

印刷管理ソフト PaperCut NG / PaperCut MF に対して、2つの脆弱性を連鎖させた攻撃が実際に行われています。 開発元のPaperCut Software社は2026年8月27日に緊急のセキュリティ情報を公開し、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）は8月31日に両方を悪用が確認された脆弱性のカタログ（KEV）へ追加しました。

この記事は2026年9月1日時点で、開発元の公式情報・NVD・JVN・CISAで裏が取れた内容だけをまとめています。開発元の情報は現在も更新中です。

まず結論から。インターネットからPaperCutのApplication Serverの管理画面に到達できる状態なら、パッチより先にアクセス制限をかけてください。 これは開発元が最優先の対応として挙げているものです。

今すぐ行う対策

• ✓Application Serverの管理用Webインターフェースがインターネットから到達できるか確認する。到達できるなら、ファイアウォールやネットワークアクセス制御で信頼できるIPアドレスからのみに制限する（開発元が最優先で求めている対応。不審な挙動が無くても実施する）
• ✓緊急パッチ Release 3 を適用する。Release 1 / Release 2 を当てた環境も、Release 3 への更新が必要（開発元がFAQで明記）
• ✓Site Server・セカンダリ／プリントサーバーもパッチ適用済みのバージョンへ更新する。Application Serverだけでは足りない
• ✓v23以前を使っている場合は緊急パッチが用意されていないため、v24以降へアップグレードする
• ✓`server.log` を確認し、後述の痕跡が無いか調べる。ログ自体が消えている・不自然に切れている場合も疑う
• ✓外部データベースからカード／ID番号を参照する機能を使っている場合だけ、`server/security.properties` に `security.card-number-lookup.enabled=Y` を追加してApplication Serverを再起動する（使っていなければ何もしない）

上の2つのスコアは、開発元（PaperCut Software）自身がCVSS v4.0で評価した値です。 NVDに載っているNIST評価の値とは異なります。

• ▸CVE-2026-81578：開発元の v4.0 で 8.8 / HIGH（`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:L/SC:N/SI:N/SA:N`）／ NIST の v3.1 で 9.8 / CRITICAL
• ▸CVE-2026-82078：開発元の v4.0 で 9.4 / CRITICAL（`CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H`）／ NIST の v3.1 で 9.1 / CRITICAL

版が違えば数字も変わるので、どちらかが誤りというわけではありません。この記事は2件を同じ物差しで並べられるよう、開発元のCVSS v4.0で統一しています。 NVDを開いて違う数字が出ても混乱しないでください。

なお、この件でスコアを見比べる意味はほとんどありません。 すでに悪用されている以上、優先度は最高です。

何が起きるのか — 2つの脆弱性の連鎖

単独で見ると、どちらも「それだけでは決定打にならない」ように見えます。連鎖させるとサーバーの権限で任意のコードが実行されます。

CVE-2026-81578（認証回避） はWeb管理インターフェースの不具合です。開発元の説明では、特定の条件下で、認証されていないリモートからのリクエストが、アクセス検証の完了を待たずにバックエンドの処理を起動してしまいます。 これによりログインしていない攻撃者が一部のシステム設定を書き換えられます。

CVE-2026-82078（安全でない動的クラス読み込み） はデータベース接続まわりの不具合です。PaperCutは設定されたドライバ名をもとにデータベースドライバのクラスを生成しますが、そのドライバ名が承認済みドライバの許可リストと照合されていませんでした。 設定を書き換えられる攻撃者は、クラスパス上にある任意のJavaバイトコードを、PaperCutサーバープロセスの権限で実行できます。

つまり1つ目で「設定を書き換える鍵」を手に入れ、2つ目で「書き換えた設定を実行に変える」という組み合わせです。CISAも両方の項目に「もう一方と連鎖しうる」と明記しています。

開発元が公開した観測事例では、`pc-app.exe`（PaperCutのアプリケーションサーバープロセス）が `cmd.exe` を子プロセスとして起動し、`whoami` や `ver` を実行しています。エンドポイント保護がここで止めて端末を隔離した例もありますが、止まらなかった環境では、ドメインコントローラの一覧取得やログイン中の利用者の列挙を経て、遠隔操作ツール（SimpleHelpのエージェント、AnyDesk）が導入されるところまで進んでいます。

また、Rapid7がMetasploitへ提出した攻撃モジュール（Pull Request #21842、2026年8月28日作成）では、Windows Server 2025上のPaperCut MFに対して SYSTEM権限 のセッションが取得できることが実行例として示されています。このPull RequestはNVDが両CVEの参考情報として掲載しているので、記事末尾のNVDのページから辿れます。攻撃手法はすでに公開されていると考えてください。

バージョン番号だけでは安全か判断できない

ここが今回もっとも間違えやすい点です。影響バージョンの記述が、情報源によって3通りに割れています。

- PaperCut自身がCNA（採番機関）として登録したCVEレコード（CVE.org、2026年9月1日更新）：両CVEとも 24.1.10 / 25.0.13 / 26.0.5 より前 を影響ありとしています
- NVDとJVN：24.1.9未満 / 25.0.2以上25.0.12未満 / 26.0.2以上26.0.4未満。CNAの登録より1つ手前の番号です
- PaperCutの公式セキュリティ情報（KBページ）：「この情報は PaperCut NG / PaperCut MF の全バージョン に該当する」と書かれており、そもそも版数で区切っていません

CNAが挙げている 24.1.10 / 25.0.13 / 26.0.5 は、9月1日時点でまだ準備中の正式なメンテナンスリリースの番号にあたります。開発元はFAQで「これは正式リリースではない」と明記しており、いま配布されているのは緊急パッチ（Emergency Patch）のビルドです。

つまり、どの版数表記を見ても現時点では安全か判断できません。 実際、先に触れたMetasploitモジュールの実行例は `PaperCut MF 26.0.4 (Build 76494)` に対して成立しています。NVDの範囲だけを見て「26.0.4なら直っている」と読むと誤ります。

したがって、確認すべきはバージョン番号ではなくビルド番号です。 緊急パッチ Release 3 のビルド番号は次のとおりです。

• ▸PaperCut MF：v26 = Build 76531 ／ v25 = Build 76532 ／ v24 = Build 76534
• ▸PaperCut NG：v26 = Build 76530 ／ v25 = Build 76533 ／ v24 = Build 76535
• ▸Windows（exe）／ Linux（sh）／ macOS（dmg）それぞれにSHA256チェックサムが公式ページへ併記されているので、ダウンロード後に照合する
• ▸適用は通常のアップグレード手順どおりで、途中のパッチを順に当てる必要はない（Release 3 は過去の緊急パッチをすべて含む）

1回パッチを当てただけでは足りない

緊急パッチは8月28日から9月1日までに3世代出ています（時刻はいずれも開発元表記のAEST）。

• ▸Release 1（8月28日 02:10）：v25 / v26 向けに公開
• ▸Release 2（8月28日 20:42）：Huntress・watchTowrとの共同分析による追加の堅牢化。v24向けは同日22:08に公開
• ▸Release 3（9月1日 18:22）：SAMLログインとレガシーMicrosoft SQL Serverドライバの2つのリグレッションを修正し、さらに実際に悪用が観測された別の攻撃経路を塞ぐ追加の堅牢化を含む

Metasploitモジュールの説明には「ベンダーの緊急パッチ v1 は回避できる、v2 は有効であることを確認した」と書かれています。つまり Release 1 で止まっている環境は、パッチを当てたつもりでも攻撃が通ります。

そして開発元は Release 3 について「観測された追加の攻撃経路を塞ぐ」と説明しています。Release 2 で止めている環境も更新が必要です。

侵害を受けていないかの確認

開発元が公開している痕跡は次のとおりです。これらが見つからないことは「安全である」証明にはなりません。 攻撃の進行に合わせて攻撃者がファイルを消す場合があると、開発元自身が注意書きを添えています。

• ▸`server.log` が消えている、不自然に途中で切れている、削除されている
• ▸`server.log` に `ERROR No suitable driver found for jdbc:no:x` がある
• ▸`server.log` に `ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST` がある
• ▸`server.log` に `DB URL: jdbc:derby:memory:pwn;create=true` がある
• ▸`<インストール先>\server\lib\` に5文字程度のランダムな名前の `.class` ファイルがある
• ▸`<インストール先>\server\data\content\` に5文字程度のランダムな名前の `.cmd` / `.out` ファイルがある
• ▸`pc-app.exe`（Linuxでは `pc-app`）が `cmd.exe` などのシェルを子プロセスとして起動している
• ▸「Remote Access Service」という名前のWindowsサービスが LocalSystem で自動起動に設定されている（SimpleHelpのエージェント）
• ▸身に覚えのない AnyDesk がインストールされている
• ▸PaperCutのApplication Serverに関する、侵入検知・エンドポイント保護・ネットワーク監視のアラート

侵害が疑われる場合、開発元は「現在のサーバーバックアップを確保したうえで、Application Serverを完全に消して作り直し、不審な挙動が観測される前のクリーンなバックアップから復元する」ことを推奨しています。あわせて組織のインシデント対応手順を起動してください。

パッチを当てるだけでは、すでに設置された遠隔操作ツールは消えません。 ここを混同しないでください。

影響しないもの

• ▸PaperCut Hive / PaperCut Pocket：今回のセキュリティ情報と脆弱性は該当しない
• ▸Mobility Print / Print Deploy のサーバーコンポーネント：影響を受けず、更新も不要。Mobility Printは別アーキテクチャで動くため、そのポートを閉じる必要もない
• ▸クライアントソフト（User Client、Print Deployクライアント、Mobility Printインストーラ）：影響を受けず、更新も不要

この件から持ち帰れること

バージョン番号は「修正されたか」の答えとは限りません。 緊急対応の局面では正式リリースを待たずにパッチが出るため、番号ではなくビルド番号やパッチの世代で管理する必要があります。NVDやJVNの版数表記は便利ですが、開発元の記述が優先します。

「パッチを当てた」は1回では終わりません。 今回は5日間で3世代のパッチが出て、最初の1つは回避されました。進行中のインシデントに関する公式ページは、一度読んで終わりにせず繰り返し読み直す運用にしてください。

そして、管理画面をインターネットに出さないことが最初の防御です。 今回の連鎖は管理インターフェースへ到達できることが前提になっています。PaperCutは過去にも CVE-2023-27350 と CVE-2023-27351 がランサムウェア攻撃に悪用され、CISAのKEVに「ランサムウェアでの使用が確認済み」として登録されています。同じ製品が繰り返し狙われている以上、露出面そのものを減らすほうが確実です。