PaperCut NG/MF の脆弱性 CVE-N/A：実環境でリモート攻撃経路が悪用されている

PaperCut NG/MF Vulnerability Actively Exploited in Attack – All Versions Impacted

2026/08/27 CyberSecurityNews — PaperCut が公表したのは、広く利用されている印刷管理ソフトウェア PaperCut NG／PaperCut MF に存在する未修正の脆弱性が、実際の攻撃で悪用されている状況である。これを受け、同社は最初の警告から数時間後に緊急パッチをリリースした。オーストラリアのベンダーである PaperCut によると、同社のセキュリティ対応チームは顧客で確認されたインシデントを調査しており、この問題を最優先で対応しているが、正式な CVE 識別子はまだ割り当てられていない。また、PaperCut のセキュリティ情報によると、この脆弱性は現在サポートされているすべてのバージョンの PaperCut NG／PaperCut MF に影響を及ぼす。

この問題は、ある大学の内部セキュリティ・チーム／デジタル・フォレンジック・チームから PaperCut に報告され、その調査結果を受け、PaperCut のエンジニアは脆弱性を再現するとともに、実際の攻撃で悪用されていることを確認した。

脆弱性の技術的な詳細は、調査が継続しているため公開されていない。ただし、同日中に緊急ビルドが提供されたことなどから、インターネットに公開されたサーバーに対する深刻なリモート攻撃経路が存在することが示唆される。

即時の緩和策を実施

パブリック・インターネットから到達可能なアプリケーション・サーバーを運用するすべての顧客に対して PaperCut が求めるのは、ファイアウォール・ルールなどのネットワーク・アクセス制御を速やかに適用して、内部ネットワークなどの信頼できる IP アドレス範囲だけにアクセスを制限することである。不審な活動が確認されていない場合であっても、この対策を直ちに実施する必要があると、同社は強調している。警告の兆候が存在しないからといって、システムが安全であると判断してはいけない。

セキュリティ・チームには、侵害の可能性を示す兆候の調査が求められる。具体的には、”server.log” ファイルの欠落または予期しない切り詰めや、”ERROR No suitable driver found for jdbc:no:x” および “ERROR DatabaseUtils – Database error looking up cardID: VALUES CAST” といった、侵害後の不審な動作を示すログ・エントリなどが調査対象として挙げられる。ただし、PaperCut は、これらの痕跡が見つからない場合であっても侵害の可能性は排除できないと警告しており、調査の進展に伴い、検証した侵害指標 (IoC) を公開する予定だとしている。

2026年8月30日に、PaperCut は NG／MF の v24／v25／v26 ブランチ向けに、Windows／Linux／macOS のインストーラーとして緊急ビルドをリリースした。この緊急リリースは、インターネットに公開されたサーバーを運用し、システムをインターネットから分離できない管理者を対象としたものである。PaperCut がユーザーに求めるのは、最新バージョンへのアップグレードである。

PaperCut の印刷管理プラットフォームが、攻撃者の注目を集めるのは今回が初めてのことではない。2023年に発見された認証回避の脆弱性 CVE-2023-27351 は、その当時にランサムウェア攻撃者により悪用され、今年初めには CISA の Known Exploited Vulnerabilities カタログに掲載された。こうした過去の経緯を踏まえ、セキュリティ研究者が予測しているのは、公開されたサーバをスキャンする日和見的な攻撃者たちが、今回の新たな脆弱性に注目することである。本番環境で PaperCut を運用している組織には、迅速なパッチ適用／ネットワークのセグメント化が不可欠である。

印刷管理ソフトウェアである PaperCut NG および PaperCut MF には、実際のサイバー攻撃で悪用されている深刻なリモート攻撃の脆弱性が存在します。CVE は未割り当てです。この問題により、インターネットに公開されたサーバーが遠隔から攻撃され、組織の内部ネットワークへの不正アクセスやシステム侵害を引き起こす深刻な被害が生じる恐れがあります。影響を受ける環境への対応策として、最新ビルドへのアップグレード／ファイアウォール等によるネットワークアクセス制御／ログ確認や侵害指標 (IoC) チェックによる不審な動作の検証が求められます。