Metasploit Adds Exploit for PaperCut MF/NG Zero-Day RCE Vulnerabilities
2026/08/31 gbhackers — Rapid7 の Metasploit Framework に、現在積極的に悪用されている PaperCut MF／PaperCut NG の脆弱性を標的とする、エクスプロイト・モジュールが追加される予定である。これにより、印刷管理サーバに対する攻撃に利用可能な、公開エクスプロイト・モジュールが提供されることになる。提案されているモジュールが標的とするのは、CVE-2026-81578／CVE-2026-82078 であり、これらの脆弱性を悪用する攻撃者は、脆弱な PaperCut Application Server 上でリモート・コードを実行する可能性がある。
Metasploit に PaperCut MF／NG 向けエクスプロイトを追加予定
このモジュールの追加提案は、プルリクエスト #21842 として提出されており、現在もオープンなレビューの最中である。4 ファイル／845 行のコードで構成される、このモジュールは PaperCut MF／NG のリリース 24.x／25.x／26.x に対応し、その名前は “multi/http/papercut_ng_external_user_lookup_rce” である。また、ドキュメントおよびバージョン情報に基づく確認処理が含まれており、認可を受けたセキュリティ担当者による脆弱なインスタンスの特定を支援する。
CVE-2026-81578 (CVSS：8.8) は、Web 管理インターフェイスに存在する認証バイパスの脆弱性であり、これを悪用する未認証のリモート攻撃者は、バックエンドの管理操作にアクセスして設定を変更する可能性がある。
CVE-2026-82078 (CVSS：9.4 Critical) は、PaperCut のデータベース接続ユーティリティに存在する安全でない動的クラス読み込みの脆弱性である。これらの脆弱性を連鎖させることで、攻撃者は外部ユーザー検索設定を変更し、PaperCut サーバ・プロセスのコンテキストでコードを実行できるようになる。
Rapid7 によると、これらの脆弱性はゼロデイのエクスプロイト・チェーンとして報告され、実環境で積極的に悪用されている。PaperCut も顧客に影響を及ぼすインシデントを確認した上で、PaperCut NG／MF の全バージョンが潜在的に脆弱であると注意を促している。特にリスクが高いのは、Web インターフェイスをインターネットへ公開している Application Server であり、このエクスプロイト・チェーンはインターネットからの直接アクセスにより開始される。
プルリクエストの説明によると、このモジュールはプラットフォーム非依存の Java ペイロードと、Windows／Linux 向けのコマンド・ペイロードをサポートする。Java ペイロードの処理はバージョン系列に応じて異なり、バージョン 26.x ではモジュールが Java ペイロードをメモリ上で実行する一方で、バージョン 25.x 以前では利用可能な実行プリミティブが異なるため、ヘルパー・クラスが必要になる。
モジュールの作成者は、PaperCut MF 26.0.4／PaperCut NG 24.1.9 でモジュールをテストしている。なお、サポートが終了した旧リリースも影響を受ける可能性があるが、これらについては個別のテストを実施していないとしている。
このモジュールは、PaperCut の最初の緊急パッチを回避すると報告されているが、Rapid7 は、ベンダーの 2 番目の緊急パッチによりエクスプロイト経路が適切に修正されることを確認している。このため、最初の緊急アップデートだけをインストールした組織は十分に保護されておらず、Emergency Patch Release 2 を直ちに適用する必要がある。前述のとおり、PaperCut は社内スタッフおよび外部研究者による包括的な分析を経て、バージョン 24／25／26 向けの 2 番目のパッチをリリースしている。
管理者は、PaperCut の Web アクセスを信頼できる IP アドレス範囲に制限し、プライマリ Application Server および関連するセカンダリ・サーバに Release 2 を適用した上で、侵害の兆候を調査する必要がある。
PaperCut が警告サインとして挙げているのは、不審な “pc-app” 子プロセス／切り詰められた “server.log” ファイル／異常なデータベース・ドライバー・エラー／予期しないクラスファイルまたはコマンドファイル／SimpleHelp の Remote Access Service に関連する痕跡／予定されていない AnyDesk のインストールである。Metasploit が利用可能になることで悪用の障壁が低下するため、外部に公開された全 PaperCut 環境では、迅速な緩和策の適用と脅威ハンティングが不可欠になる。
PaperCut MF / NG の印刷管理サーバにおいて、実環境での悪用が確認された脆弱性が存在します。CVE-2026-81578 (Web 管理インターフェイスにおける認証バイパス )／CVE-2026-82078 (動的クラス読み込みによるリモート・コード実行 )を組み合わせた攻撃により、未認証の第三者がシステム権限で任意のコードを実行する危険性があります。さらに Metasploit モジュールの公開提案により、攻撃の簡便化と被害拡大が懸念されています。対応策として、管理画面へのアクセス限定／Emergency Patch Release 2 の即時適用／不審なプロセスや切り詰められたログなどの侵害痕跡の調査などが求められます。
IoT OT Security News 
You must be logged in to post a comment.