PaperCut Server の脆弱性 CVE-2026-81578／82078：実環境でのコマンド実行／認証情報窃取を確認

Hackers Actively Exploiting PaperCut Servers Command Execution Vulnerabilities

2026/09/07 CyberSecurityNews — PaperCut が公表したのは、PaperCut Server の重大な脆弱性 CVE-2026-81578／CVE-2026-82078 である。これらの脆弱性を積極的に悪用する攻撃者は、コマンド実行／認証情報の窃取などを行い、被害組織のネットワーク内で特権アカウントを作成する可能性がある。実際、Arctic Wolf Threat Intelligence の最新レポートによると、攻撃者はすでに 2 件の脆弱性を悪用して、脆弱性の影響を受ける PaperCut 印刷管理サーバを侵害した後、ネットワーク内で活動を拡大している。

この脅威の深刻さを明確に示すものとして、2026年8月27日に実環境での悪用が始まり、翌 8月28日に CVE 識別子が割り当てられた状況を、 PaperCut は指摘している。さらに 8月31日には、これらの脆弱性が CISA の Known Exploited Vulnerabilities (KEV) カタログに追加された。

PaperCut Server は企業環境に組み込まれていることが多く、Active Directory／機密性の高い認証設定などの重要なシステム／設定へアクセスできるため、これらの脆弱性による影響は重大である。

PaperCut のコマンド実行の脆弱性を悪用する攻撃者

影響を受ける PaperCut Server を侵害した攻撃者は、一般的な環境探索コマンドを実行して稼働環境に関する情報を収集している。具体的には、whoami／ver／tasklist／uname -a などのコマンドにより、侵害済みホスト／ログイン中のユーザー／実行中のプロセス／OS などの詳細を特定している。

Arctic Wolf Threat Intelligence が GitHub で公開したレポートでは、こうした環境探索に加えて、PaperCut のプロセス pc-app.exe から cmd.exe／PowerShell が起動される動作も確認されている。それらは、印刷管理ソフトウェアとしては異常な動作である。

さらに攻撃者は、PaperCut の設定ファイルに保存された認証情報を探索するため、以下のコマンドを使用している。

findstr /s /i /n /c:  "password"/c: "secret"/c: "bind"/c: "ldap"/c: "token"

このコマンドによる検索は、LDAP バインド認証情報／API トークン／サービス・パスワードなど、設定ファイルに保存された重要な認証情報の抽出を試みるものである。

認証情報の窃取も、このキャンペーンにおける重要な活動の 1 つであり、lsa_collect.exe／lsa_collect_small.exe／save_hives.exe などのツールが展開されている。これらのツールは、リモートファイルの取得に悪用されることが多い正規の Windows のユーティリティ certutil を介して配信されている。それらを用いる攻撃者は、保護されたレジストリ秘密情報の復号／Security Account Manager (SAM) データベースの標的化に必要となるレジストリ・データなどを抽出している。

研究者が確認した、特定のパターンに一致するファイルを要求する受信リクエストは、収集済みデータやコマンドの出力などを取得しようとする試みであり、さらに Meterpreter Java ペイロードが使用されていることから、リモートアクセス／継続的なアクセスのために、攻撃者が Metasploit ツールを利用している可能性も示唆される。

加えて、侵害済みの環境内に Administrator17 という特権アカウントを作成しようとする試みも報告されており、これは問題となっている脆弱性にパッチが適用された後においても、攻撃者がアクセスを維持するための動作と考えられるため、重大なリスクとなる。

こうした活動を踏まえ、組織は PaperCut Server に関連する不審な活動の直後に、予期しない管理者アカウントが作成されていないかアカウント管理ログで確認する必要がある。また、PaperCut はサイバー攻撃の標的にされ続けており、過去の脆弱性である CVE-2023-27350／CVE-2023-27351 に関連して LockBit ランサムウェアの活動も確認されていることから、今回の脆弱性についても迅速な対応が求められる。

効果的な検出／対応のため、防御側は、特定のエラー・メッセージなど、悪用に関連するエントリがないか PaperCut Server のログファイルを精査すべきである。特に、5 文字の短いファイルの作成／pc-app.exe に関連する異常なコマンド・インタープリターの起動を監視することが推奨される。さらに、PaperCut が推奨する必要なパッチを速やかに適用した上で、悪意の IP アドレスのブロック／侵害されたサーバの隔離／漏洩した認証情報のローテーション／管理者アカウントの変更状況の調査などの予防的な対策を講じる必要がある。

Indicator of Compromise

注：IP アドレス／ドメインは、意図しない名前解決／ハイパーリンクを防ぐため、意図的に無害化されている (例：[.])。再有効化は、MISP／VirusTotal／SIEM など、管理された脅威インテリジェンス・プラットフォーム内だけで実施する必要がある。

印刷管理製品 PaperCut Server において、CVE-2026-81578／ CVE-2026-82078 が公開されました。これらの脆弱性については、攻撃者によるコマンド実行／認証情報の窃取／特権アカウントの作成などの悪用が実環境で確認されており、CISA KEV カタログにも追加されています。主要システムとの連携による広範囲な被害／アクセスの維持といったリスクが生じます。対応策として、ログやアカウントの監視／悪意のある IP の遮断／サーバの隔離／認証情報の変更／パッチの速やかな適用が求められます。