概要
印刷管理ソフトウェアを提供するPaperCutは8月28日、実際に悪用されている2件の脆弱性に対する第2次緊急パッチをリリースした。対象となるのはCVE-2026-81578(CVSSスコア8.8、認証バイパス)とCVE-2026-82078(同9.4、危険な動的クラス読み込み)で、いずれもNG/MFバージョン24・25・26(Windows、Linux、macOS)のプリントサーバーおよびサイトサーバーに影響する。8月27日に公開された最初の緊急セキュリティ勧告に基づくパッチが、複数の回避手法によって突破されたため、追加の修正が必要になった。
脆弱性の詳細
CVE-2026-81578は、特定の条件下で認証を経ずにバックエンドの機能が実行されてしまう認証バイパスの欠陥。CVE-2026-82078は、承認済みリストに対する検証を行わずにデータベースドライバのクラスを読み込んでしまう問題で、これを悪用されると任意のJavaコードを実行される。両者を組み合わせることで、攻撃者は認証なしにサーバー上で任意のコードを実行できる、いわゆる「フル段階の認証前RCEチェーン」を構築可能になる。なお、Print DeployやMobility Printといった関連製品はこの脆弱性の影響を受けない。
第2次パッチに至った経緯
最初のパッチ公開後、セキュリティ企業watchTowrやHuntress、そしてPaperCut社内のチームがそれぞれ独立に、パッチの複数の回避方法と追加の認証バイパス手法を発見した。特にHuntressは、これらの回避策を組み合わせることで認証前のリモートコード実行が成立することを実際に再現して見せている。Huntressの観測によれば、実際の攻撃では16進数エンコードされたJavaの .class ファイルをRCEの足がかりとして送り込み、システムの偵察活動を行うコマンドが確認されたが、現時点でマルウェアの展開や永続化の兆候は見られていないという。PaperCut自身は、観測された攻撃は「限定的でターゲットを絞ったもの」だとしている。
対応と今後の見通し
PaperCutは顧客に対し、第2次パッチの即時適用を改めて強く呼びかけている。パッチ適用に加え、ファイアウォールルールによるアクセス制限、pc-app.exe プロセスに関する不審な挙動の監視、特定のログエラーの有無の確認といった多層的な対策の実施も推奨されている。初回パッチが短期間で複数回突破された経緯を踏まえると、印刷管理サーバーがネットワーク内で軽視されがちな侵入経路になり得る点を管理者は改めて認識し、パッチ適用後も継続的な監視を行う必要があるだろう。