PaperCut NG/MF の管理画面で未認証のまま設定変更ができる（KEV・悪用確認済み）

Critical（CVSS 9.8）に分類されるPaperCut PaperCut MF / PaperCut NG（自己ホスト型の Application Server）。NVD の該当範囲は 24.1.9 未満 / 25.0.2 以上 25.0.12 未満 / 26.0.2 以上 26.0.4 未満。ベンダは「PaperCut NG と PaperCut MF の全バージョンが対象」と告知しているの脆弱性です。PaperCut MF / NG の Web 管理画面にアクセス制御の不備がある。ベンダの説明では、**特定の条件下で、管理機能を対象とした未認証のリモート要求が、アクセス検証の完了前にバックエンドの処理を起動してしまう**。結果として、認証されていないリモートの攻撃者が一部のシステム設定を変更できる。NVD の CVSS 3.1 基本値は 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、ベンダ自身の CVSS 4.0 評価は 8.8（HIGH）である。この差は評価方式の違いによるもので、どちらも「事前の権限も利用者の操作も不要」という点では一致している。 **この欠陥単体の直接的な影響は「設定の変更」に留まる**が、同じ緊急パッチで修正された CVE-2026-82078（データベース接続ユーティリティにおける安全でない動的クラス読み込み・CVSS 3.1 で 9.1）が「システム設定パラメータを操作できれば任意の Java バイトコードを実行できる」というものであるため、**2件は連鎖する**。未認証で設定を書き換え、書き換えた設定を経由してコード実行に持ち込む、という組み立てが成立する。ベンダの掲示が両方を同じ緊急パッチで塞いでいるのはこのためである。 ベンダは侵害の痕跡（IoC）を具体的に公開している。`server.log` に `ERROR No suitable driver found for jdbc:no:x` / `ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST` / `DB URL: jdbc:derby:memory:pwn;create=true` / `Database error looking up cardID: VALUES CAST(X'cafebabe` といった行が残る、`<install>\server\lib\<5文字>.class` や `<install>\server\data\content\<5文字>.cmd` / `.out` がディスクに書かれる、`server.log` 自体が消えるか不自然に切り詰められている、といったものである。**攻撃者がこれらを消していく例も報告されている**ため、痕跡が無いことは無事の証明にならない、とベンダは明記している。実行が防がれなかった環境では `pc-app.exe`（Linux では `pc-app`）が `cmd.exe` を子プロセスとして起動し、`whoami & ver` から `tasklist`、`nltest /dclist` へと進む一連のコマンドが観測されている。CISA は 2026年8月31日に KEV へ収載し、是正期限を 2026年9月14日に設定した。

**インターネットに面した Application Server を持つ環境は、既にパッチを当てていても Release 3 まで上げること。** ベンダは Release 3 を「過去の緊急リリースをすべて含む累積版」と説明しており、初期の緊急パッチや Release 2 で止まっている環境も対象に含めている。適用後の確認事項として、外部データベースをカード／ID 番号の照合に使っているか、サイトサーバを使っているかの2点がベンダの FAQ に案内されている。 **パッチ適用と同時に侵害調査を行う。** 未認証で設定変更ができ、それがコード実行に連鎖する形である以上、パッチ前に既に足場を作られている前提で動くのが安全側である。見る場所はベンダが挙げたとおりで、(1) `server.log` に上記の文字列が出ていないか、(2) `server/lib/` と `server/data/content/` に5文字のランダム名のファイル（`.class` / `.cmd` / `.out`）が無いか、(3) `server.log` が消えていたり不自然に短くなっていないか、(4) `pc-app.exe` / `pc-app` が `cmd.exe` などの子プロセスを起こした記録がエンドポイント製品側に無いか、である。ファイルが無いことは無事の証明にならない点に注意する。 **更新までの緩和として、管理画面をインターネットから直接到達できない位置へ移す。** PaperCut の Application Server はプリンタ管理という性質上、社内利用が前提であり、外部公開が必要な構成はまれである。VPN・社内網・IP 制限つきのリバースプロキシの背後に置く。ただしこれは到達経路を狭めるだけで、社内から到達できる攻撃者には効かない。**CISA の KEV 是正期限は 2026年9月14日**である。

PaperCut PaperCut MF / PaperCut NG（自己ホスト型の Application Server）。NVD の該当範囲は 24.1.9 未満 / 25.0.2 以上 25.0.12 未満 / 26.0.2 以上 26.0.4 未満。ベンダは「PaperCut NG と PaperCut MF の全バージョンが対象」と告知している を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://www.papercut.com/kb/Main/security-bulletin-27-aug-2026-urgent-security-advisory/）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/14 です。早急な対応が推奨されます。