攻撃者は、PaperCut NGおよびPaperCut MFの印刷管理ソフトウェアに存在する2つのセキュリティ脆弱性を悪用し、データ窃取攻撃を実行している。同社は、これらが「ゼロデイ」攻撃として悪用されていることを確認した後、先週、対処のため緊急パッチをリリースした。
この2つの脆弱性にはCVE-2026-81578およびCVE-2026-82078という番号が付与されており、組み合わせて悪用することで、認証を回避し、保護されていないPaperCut NGおよびMFサーバー上でリモートコード実行が可能になる。PaperCut Softwareは木曜日と金曜日に2組の緊急アップデートをリリースし、継続中の活動を防御チームが検知して遮断できるよう、侵害の痕跡も公開した。
単なるコード実行ではなくデータを狙う活動
脅威インテリジェンス企業のDefusedは週末、世界協定時刻（UTC）で8月29日遅くから、ハニーポット環境においてこの2つの脆弱性の悪用を検知したと確認した。同社によると、攻撃者の1人は認証回避経路を悪用し、PaperCutの外部ユーザー検索機能を乗っ取っている。
公開された報告書で説明されているリモートコード実行経路に従う代わりに、攻撃者はこの機能を使ってデータにアクセスし、Derby経由でデータベースのテーブルを抜き出した。PaperCutは現時点で攻撃を特定の組織に帰属させておらず、サーバー侵害後に攻撃者が何をしているのかも明らかにしていない。
被害範囲は依然として不明
PaperCut Softwareによると、同社製品は70,000を超える組織で1億人のユーザーに利用されており、その中には大企業、政府機関、教育機関が含まれる。システムの露出状況を追跡する専門組織Shadowserverは、インターネット上に公開されたPaperCut MFおよびNGサーバーを800台以上監視している。
しかし、この数字からは、ハニーポットであるサーバーの数、アップデートを適用したサーバーの数、あるいは実際に侵害されたサーバーの数は分からない。そのため、この数字だけでは被害規模を推定できないが、インターネットに接続されたサーバーが依然として監視・悪用可能な露出面であることは示している。
なぜこのニュースが重要なのか
実際のリスクは、印刷サーバーが技術的に制御される可能性だけにとどまらない。検知された活動は、攻撃者がこの脆弱性を利用してシステムのデータベースに保存されたデータへアクセスしていることを示している。これは、印刷サービスの停止やコマンド実行にとどまらず、Defusedの活動によってのみ裏付けられている範囲で、ユーザー情報、印刷ログおよび関連データが露出する可能性へと、インシデントの影響を拡大させる。
また、企業、政府機関、教育機関の内部でPaperCutが広く利用されているため、影響を受けるサーバーは複数の組織における重要な運用基盤の一部となっている。入手可能な情報に基づくと、利用組織が直ちに優先すべきことは、PaperCutが公開した緊急パッチを適用し、同社が公開した侵害の痕跡を確認することである。ただし、情報源は、被害者の数や確認された攻撃で窃取されたデータの種類を証明していない点に注意が必要だ。
過去にも繰り返されてきた悪用
今回のキャンペーンは、PaperCutが繰り返し標的にされてきた記録の一環である。2023年4月には、CVE-2023-27350という番号が付与された深刻度の高いリモートコード実行脆弱性が、情報漏えいの脆弱性CVE-2023-27351と同時に悪用され、当時の攻撃はLockBitおよびClopという2つの犯罪集団と関連付けられた。2週間後、Microsoftは、イランの支援を受けるMuddywaterおよびAPT35の2つのグループが活動に加わったと述べた。
2023年5月、FBIおよびCISAは、Bl00dyという犯罪集団がCVE-2023-27350を悪用して標的ネットワークへの初期アクセスを得ていると警告した。一方、CISAは、別のリモートコード実行脆弱性であるCVE-2023-2533を、2025年7月に実際に悪用された脆弱性の一覧に追加した。