PaperCutは、印刷管理ソフトウェアPaperCut NGおよびPaperCut MFの全バージョンに存在する未公表のセキュリティ脆弱性が活発に悪用されていると警告し、顧客に影響を与えたインシデントの報告を受けたことを明らかにしました。同社は、インターネットに公開されたPaperCut Application Serverを運用している組織に対し、攻撃者が悪用できるようになる前に、Webインターフェースへのアクセスを直ちに制限するよう呼びかけました。
PaperCutは2026年8月27日に緊急セキュリティ通知を公開し、セキュリティ対応チームが活発な悪用を調査していること、また、ある大学から提供された情報に基づいて同社が脆弱性を再現したことを説明しました。同社は現時点で、脆弱性の詳細や悪用手法を明らかにしておらず、攻撃の背後にいる組織や、サーバーへの侵入後に攻撃者が何をしているのかも特定していません。
公開サーバーに対する即時対応
PaperCutは、NGまたはMFのサーバーを一般公開しており、その他の緩和策を実施できない顧客向けに緊急パッチをリリースしました。パッチのインストールに加え、同社はファイアウォールルールやネットワークアクセス制御を使用し、Webインターフェースへのアクセスを信頼できるIPアドレスのみに制限することを推奨しています。
これらの推奨事項は、インターネットからアクセス可能なサーバーに適用されます。同社は緊急警告でこの点を強調しています。一方、修正済みバージョンの詳細やソフトウェア変更の性質は、提供された資料には記載されていないため、パッチ適用後に追加の手順がどの程度必要になるかは判断できません。
侵害を示す可能性のある兆候
PaperCutは、管理者が初期調査に利用できる侵害指標を共有しましたが、これらの指標が存在しないことはサーバーの安全性を証明するものではないと注意を促しました。指標には以下が含まれます。
- 正規のプロセスpc-app.exeに関連する不審な活動。
- server.logファイルの変更、削除、または消失。
- ERROR No suitable driver found for jdbc:no:xというエラーの出現。
- ERROR DatabaseUtils - Database error looking up cardID: VALUES CASTというエラーの出現。
なぜこの警告が重要なのか
今回の動きが重要なのは、3つの要因が重なっているためです。脆弱性が実際に悪用されていること、PaperCutによればNGおよびMFの全バージョンに影響すること、そして完全な技術的詳細が公開される前に顧客でのインシデントが存在することを同社が確認していることです。このため、インターフェースへのアクセス制限とログの調査は、単なる事前対策の推奨事項ではなく、緊急に実施すべき実務的な措置となっています。
PaperCutの製品では、脆弱性の公開後に悪用活動が活発化した前例があります。2023年4月には、重大な脆弱性CVE-2023-27350が悪用され、脆弱なサーバー上で認証を回避し、リモートでコードを実行されました。Microsoftはこれらの攻撃の一部をClopランサムウェアによる作戦と関連付け、LockBit攻撃につながる活動も確認し、イランに支援されたグループもこの脆弱性を悪用したと報告しました。2023年5月には、CISAとFBIが、教育分野を標的とするBl00dy Ransomwareギャングによる悪用について警告しました。
これらの前例は、同じ組織が今回のキャンペーンの背後にいることを証明するものではありませんが、PaperCutが今回の事案を最優先度の高いインシデントとして扱っている理由を示しています。同社は、調査の進展に伴い、侵害指標や追加の対処ガイダンスを通知に追加すると述べています。一方で、攻撃者がアクセスした可能性のあるデータの性質は依然として不明です。