CVE-2026-81578: Exploited PaperCut Authentication Bypass Chains to Pre-Auth RCE

PaperCutは、NGおよびMF印刷管理プラットフォームを標的としたアクティブな攻撃に対応しており、ゼロデイ脆弱性のペアを連鎖して認証されないリモートコード実行を達成することができます。これらの欠陥の一つであるCVE-2026-81578は、高深刻度の認証バイパスであり、リモート攻撃者が先にログインせずにPaperCutの機密構成を変更することを可能にします。

CVSS v4.0スケールで8.8と評価されたこの脆弱性は、ウェブ管理インターフェイスに存在し、アクセスの検証が完全に完了する前に管理アクションが処理されることが原因です。この欠陥自体でも不正な構成変更を可能にしますが、重大なCVE-2026-82078の安全でない動的クラスローディングバグと組み合わせると、攻撃チェーンはPaperCutアプリケーションサーバーのセキュリティコンテキスト下での任意のJavaの実行を引き起こす可能性があります。

ExploitされたPaperCutの脆弱性はすでに顧客環境に対して観測されています。Huntressは、2026年8月26日に初めて知られる攻撃活動を検出し、標準的なPaperCut NGインストールに対する完全な事前認証RCEチェーンを再現しました。CISAはその後、CVE-2026-81578とCVE-2026-82078の両方をその既知のExploit脆弱性カタログに追加し、脅威が概念実証を超えて移行したことを確認しました。

PaperCutは現在、すべてのバージョンのPaperCut NGとPaperCut MFを潜在的に影響を受ける可能性のあるものとして扱い、バージョン24、25、26のための緊急パッチリリース3を発表しました。最新の緊急アップデートは以前のパッチを上回り、研究者や防御者が不完全にパッチを適用したシステムに対するさらなる攻撃経路を特定した後、新たな強化を追加しています。

CVE-2026-81578の分析

この脆弱性は、PaperCutの管理用ウェブインターフェイスに影響する、認証不足または不適切なアクセス制御の問題として分類されています。特定の条件下で、特別に作成された未認証のリクエストがPaperCutの期待されるアクセス制御チェックを完了する前にバックエンド管理機能に到達する可能性があります。

CVE-2026-81578の重要な詳細は、リクエスターに提示されるページと最終的に実行されるバックエンドアクション間の違いに関するものです。Huntressは、作成されたリクエストがあるページを参照して応答にレンダリングされる一方で、別のページに属するコンポーネントやアクションをターゲットにできることを発見しました。PaperCutの脆弱な認可ロジックは、基底コンポーネントの認可要件を正しく施行するのではなく、レンダリングされたページを検証できます。

これにより、有効なPaperCutアカウントを持たない外部攻撃者が管理機能と交流し、信頼されたサーバー設定を変更することができます。

CVE-2026-81578はPaperCut NGおよびPaperCut MFに影響を与えます。PaperCutの現在の緊急アドバイザリは、そのインシデントレスポンス調査が進行中の間、両製品のすべてのバージョンに保守的に適用されます。PaperCut HiveおよびPaperCut Pocketは影響を受けず、Mobility PrintおよびPrint Deployサーバーコンポーネントは別々のアーキテクチャを使用し、この脆弱性の影響範囲外です。

CVE-2026-82078と組み合わせると、認証バイパスは非常に危険になります。この第2の欠陥は、PaperCutのデータベース接続ユーティリティに存在し、安全でない動的クラスローディングを含みます。ソフトウェアは承認されたホワイトリストに制限せずに、構成可能なドライバ名を使用してデータベースドライバークラスをインスタンス化できます。

通常、CVE-2026-82078をエクスプロイトするには高い権限が必要です。攻撃者は関連する構成パラメータを操作する能力を持つ必要があります。CVE-2026-81578はその欠落しているステップを提供します：認証されていない攻撃者が最初に信頼されたサーバー設定を変更し、その後クラスローディングの動作を悪用してアプリケーションのクラスパス上の既存のJavaバイトコードを実行できます。

実際には、異なる前提条件を持つ2つの脆弱性を事前認証RCEチェーンに変換します。

Huntressは、PaperCut NGバージョン25.0.11.75758に対してそのチェーンを再現しました。テストで、リモート未認証リクエストによりcharmap.exeがSYSTEMとして、PaperCut pc-app.exeアプリケーションサーバープロセスの下で実行され、成功したエクスプロイトが公開されたウェブインターフェイスからオペレーティングシステムコマンドの実行に至ることが示されました。

動作するCVE-2026-81578のPoCが現在、CVE-2026-81578/CVE-2026-82078攻撃チェーンのために公開されており、脅威データベースやセキュリティツールにも公開されたエクスプロイトリファレンスが登場しています。それにより、未パッチのインターネット向きシステムをスキャンしエクスプロイトするための障壁が大幅に低下しました。

完全な技術情報が公開される前から、実世界の攻撃が進行していました。Huntressは、2つの顧客環境でのエクスプロイトを観察しました。最初のインシデントは8月26日に発生しました。ある攻撃は2分未満で終了し、Base64エンコードされた偵察コマンドを実行し、それは次のようにデコードされました：

whoami & ver

2回目のインシデントは偵察シーケンスを次に拡張しました：

whoami & ver & tasklist

これらのコマンドは、攻撃者にPaperCutがどのユーザーで動作しているか、Windowsのバージョン、稼働中のプロセスを判定させることを可能にしました。

攻撃者は、脆弱なサーバーを通じて悪意のあるJava .classファイルも配信しました。Huntressは1つのペイロードを回収しました：

lib/Udydn.class

研究者達はまた、メモリ内のApache Derbyデータベースパスが異常で、次の文字列で終了したことも観察しました：

memory:C:Program FilesPaperCut MFserverdatainternalpwn

2回目のデータベースブートイベントは、コード実行の直前に発生し、観察された攻撃チェーンの信頼性の高いフォレンジックアーティファクトとなりました。

PaperCutのその後の調査によれば、攻撃者の行動は基本的な偵察を超えてエスカレートしています。ベンダーは、最初の日に観察されたより複雑なポストコンプロマイズ活動を伴う、完全にパッチを当てられていないパブリックフェイシングシステムに対する2回目の波を記録しています。

後に観察されたコマンドシーケンスには、nltest、quser、およびディレクトリ列挙によるドメインおよびセッション偵察が含まれており、続いて、正当なリモートアクセスソフトウェアのダウンロードが行われました。PaperCutは攻撃者がSimpleHelpエージェントおよびAnyDeskを取得し、SimpleHelpはLocalSystemとして動作する永続的なWindowsサービスとしてインストールされていることを文書化しました。

この活動は、認証バイパスが単独で評価されるべきではない理由を示しています。コード実行に連鎖されている場合、インターネットに面したPaperCutアプリケーションサーバーは、特権のあるリモートアクセス、探索、永続性、さらなる側面移動の初期の足掛かりとなる可能性があります。

正確な最初の発見日は公に開示されていません。PaperCutは8月27日に急を要するアドバイザリを発表し、積極的な顧客インシデントを確認し、CVE識別子を割り当て、調査が進む中で最初の緊急パッチを8月28日にリリースしました。

CISAは、この脆弱性を8月31日にそのKEVカタログに追加し、指令に従う必要のある連邦組織に対する是正期日を2026年9月14日に設定しました。既知のランサムウェアの使用は現在不明です。

PaperCutおよびHuntressは、現在、便利なCVE-2026-81578 IOCsを公開していますが、防御者は攻撃者がペイロード名、インフラストラクチャ、およびポストエクスプロイトツールを変更できることを忘れてはなりません。

CVE-2026-81578の緩和

PaperCutの主な推奨事項は、PaperCut NG/MFアプリケーションサーバーを直ちにインターネットへの直接露出から取り除くことです。アプリケーションサーバーが公にアクセスできる場合、組織は信頼されたIPアドレスへのウェブインターフェイスのアクセスをファイアウォールルール、ネットワークアクセス制御、VPN、または他の制御された管理アクセスパスを使用して制限するべきです。たとえ疑わしい活動が観察されていない場合でもこれは行うべきです。

サポートされているデプロイメントに対しては、管理者は、2026年9月1日に公開された緊急パッチリリース3をインストールするべきです。リリース3はリリース1と2に優先して適用されるため、顧客は以前の緊急パッケージを最初にインストールする必要はありません。PaperCutは、インターネットに発信するシステムが再度アップグレードすることを推奨します。たとえリリース1またはリリース2がすでにインストールされていたとしても。

現在の緊急パッチは、PaperCut NG/MFのバージョンをカバーしています：

• 26
• 25
• 24

バージョン23またはそれ以前のバージョンを実行している組織は、別々の緊急パッチを待つのではなく、サポートされている最新バージョンへアップグレードすることが推奨されます。PaperCutは、v24以前のインストールを最新の利用可能なリリースにアップグレードすることを明示的に推奨しています。

管理者はまた、プライマリアプリケーションサーバーだけでなく、サイトサーバーおよびセカンダリ/プリントサーバーもパッチを適用するべきです。PaperCutは、Mobility Print、Print Deployサーバー、ユーザークライアントソフトウェア、Print Deployクライアント、およびMobility Printインストーラーが今回のインシデントによって影響を受けていないと述べています。

CVE-2026-81578の検出は、8月26日以降のいかなる時点でも外部からアクセス可能であったかどうかを判断し、すべてのPaperCut NGおよびMFアプリケーションサーバーを特定することから始めるべきです。

CVE-2026-81578のエクスプロイトまたはポストコンプロマイズ活動を検出するため、防御者は次の指標についてPaperCutログ、エンドポイントテレメトリ、ネットワーク記録、およびファイルシステム活動を調べるべきです：

• pc-app.exeまたはpc-appから発生する疑わしい子プロセス
• 欠落、削除、または予期せず切り捨てられた server.log ファイル
• ERROR No suitable driver found for jdbc:no:x
• ERROR DatabaseUtils – データベースエラー：cardIDのルックアップ中：VALUES CAST
• DB URL: jdbc:derby:memory:pwn;create=true
• データベースエラー：cardIDのルックアップ中：VALUES CAST(X’cafebabe
• DB URL: jdbc:no:x DB Driver: <5-char random name>
• 予期しない5文字の.classファイル <install>serverlibの下
• <install>serverdatacontentの下の対応する.cmdまたは.outファイル
• PaperCutサービスによってスポーンされたcmd.exe
• PaperCutプロセスツリーからのwhoami, ver, tasklist, nltest, または quser の実行
• 予期しないSimpleHelpまたはAnyDeskのデプロイメント
• リモートアクセスサービスという名前のWindowsサービス
• SimpleService.exeがJWrapper-Remote Accessディレクトリから実行されています

PaperCutは、攻撃者が攻撃の進行とともに一時ファイルを削除することがあるため、これらのアーティファクトがないことでシステムが一度も侵害されなかったことを証明するものではないと注意します。

組織はまた、曝露されたシステムをアップグレードまたは再起動する前に証拠を保持するべきです。Huntressは、PaperCutサーバー/ログディレクトリ全体、構成状態、プロセスツリー、リバースプロキシおよびファイアウォールログ、DNSおよびネットワークフローレコード、最近作成されたサービス、スケジュールされたタスク、オートランまたはファイルの証拠をキャプチャすることを推奨しています。

CVE-2026-81578の緩和プロセスは、妥協の証拠がある場合、パッチ適用だけでは不十分です。PaperCutは、既存のバックアップを保護し、完全にアプリケーションサーバーを消去および再構築し、疑わしい活動が発生する前に作成したクリーンなバックアップから復元することを推奨します。

セキュリティチームはまた、管理クレデンシャル、サービスアカウント、トークン、Active Directoryアクセス、侵害されたサーバーから到達可能なシステムをレビューするべきです。PaperCutアプリケーションサーバーはSYSTEMまたは同等の権限で動作する可能性があるため、成功したエクスプロイトは攻撃者に重大なポストコンプロマイズ能力を提供する可能性があります。

PaperCutの緊急パッチの迅速な連続は、研究者が最初の緊急リリース後に追加のバイパスパスを発見したため、以前のホットフィックスが十分であると仮定するのではなく、最新の緩和策を確認する必要があるかを示しています。リリース2はさらなる強化を加え、リリース3はその後、自然界で観察された追加の攻撃ベクトルを閉鎖しました。

営業に連絡してください