PaperCut NGおよびPaperCut MFに複数の脆弱性（JPCERT/CC Weekly Report）

PaperCut Softwareが提供するPaperCut NGおよびPaperCut MFに複数の脆弱性が存在し、JPCERT/CCがWeekly Report 2026-09-02号で注意喚起している。印刷管理基盤に影響し、認証されていない状態での設定変更や任意コード実行、業務情報の露出などにつながるおそれがある。

脆弱性の詳細

JPCERT/CCは、PaperCut NGおよびPaperCut MFに複数の深刻な脆弱性があると公表している。これらの脆弱性は、PaperCut Softwareが公開したセキュリティアドバイザリおよび緊急パッチに基づき整理されており、脆弱性の内容・影響・対策は、開発元が提供する情報とあわせて確認する必要がある。PaperCut Softwareによると、当該脆弱性は実際に悪用された攻撃が確認されており、特にインターネットからアクセス可能な環境でリスクが高いとされている。

確認されている主な脆弱性として、データベース接続ユーティリティにおける安全でない動的クラスロード（CVE-2026-82078）と、Web管理インタフェースにおけるアクセス制御の不備（CVE-2026-81578）が報告されている。いずれもPaperCut NG/MFのサーバー側機能に関する問題であり、設定を操作できる攻撃者に任意のJavaバイトコードをサーバープロセスの権限で実行させたり、認証なしで一部の管理機能のバックエンド処理を実行させたりできる可能性があるとされる。これらの脆弱性は、共通脆弱性評価システムCVSS v4.0のベーススコアで、CVE-2026-82078が9.4（Critical）、CVE-2026-81578が8.8（High）と評価されている。

PaperCut Softwareおよび各種アドバイザリによると、これらの脆弱性はPaperCut NG/MFの全バージョンが影響を受けるとされており、特にインターネットからアクセス可能なApplication Serverについて、信頼済みIPアドレスのみにWebアクセスを制限することが強く推奨されている。同社は、こうしたネットワーク制限を直ちに行えない環境向けにEmergency Patch（緊急パッチ）を複数リリースしており、最新版への更新が呼びかけられている。

JPCERT/CCによると、脆弱性が悪用された場合、攻撃者が本来許されない操作を行える状態になったり、設定・ログ・印刷ジョブなど業務情報が露出したりするおそれがある。特に、サーバーとして稼働し複数端末から利用される構成では、影響が利用者全体に波及しやすい点に留意が必要である。PaperCut NG/MFは組織内の印刷・スキャン・認証連携など業務の要所に配置されることが多く、攻撃者に狙われた場合は、設定の改ざん、機微情報の取得、業務停止などにつながる可能性がある。

影響を受ける製品・バージョン

• PaperCut NG（PaperCut Softwareのアドバイザリによれば、本件の脆弱性はPaperCut NGの全バージョンが影響を受けるとされている。特にv25およびv26系向けにEmergency Patchが提供されている。）
• PaperCut MF（PaperCut MFについても全バージョンが影響対象とされており、PaperCut NGと同様にEmergency Patchの適用が推奨されている。）

推奨される対策

• 開発元が提供する緊急パッチ・修正版の適用：PaperCut Softwareは、複数の緊急パッチ（Emergency Patch Release）を公開している。利用しているPaperCut NG/MFのメジャーバージョン（v25、v26など）に応じて該当するEmergency Patchを確認し、速やかに適用する。適用前に現行バージョンと影響範囲の突合を行い、テスト環境での動作確認を経て本番環境に反映することが望ましい。
• 管理画面や関連サービスの到達性を見直す：PaperCut Softwareは、インターネットからアクセス可能なApplication Serverに対して、信頼済みIPアドレスのみにWebアクセスを制限することを強く推奨している。不要なインターネット公開を避け、社内ネットワークやVPN接続など信頼できる経路からのみ到達可能とする。
• 認証・権限の棚卸し：管理者アカウントの最小化、不要アカウントの削除、強固なパスワード運用、二要素認証の導入などを実施する。特に、設定変更やデータベース接続設定を操作できる権限を持つアカウントを厳格に管理し、必要以上の権限付与を行わない。
• ログの確認と監視：管理者操作、設定変更、異常なアクセスの痕跡がないかを確認し、必要に応じてログを保全する。PaperCut NG/MFのアクセスログ、管理操作ログ、認証ログなどを継続的に監視し、異常な挙動が見られた場合は侵害の有無を調査する。

日本の中小企業が今すぐ取るべき行動

• 優先度1：自社でPaperCut NG/MFを利用しているかどうかを確認し、稼働しているサーバーの場所（本番・検証・拠点設置）と役割（印刷管理、認証連携など）を棚卸しする。
• 優先度2：現行バージョン（メジャーバージョンおよびビルド番号）を確認し、PaperCut Softwareが公開しているアドバイザリに記載された影響範囲と照合する。特に、Emergency Patchの適用対象となるバージョンかどうかを確認する。
• 優先度3：更新計画（適用日・担当者・ロールバック手順）を決め、緊急パッチや修正版の適用を実施する。可能であれば検証環境で事前にテストし、本番環境への影響を最小化する。
• 優先度4：PaperCut NG/MFの管理画面やWebインタフェースが社外（インターネット）から到達可能になっていないかを確認し、不要であればファイアウォール設定やアクセス制御により遮断する。アクセス元を社内ネットワークやVPNに限定し、信頼済みIPアドレスのみ許可する。
• 優先度5：直近の管理者操作・設定変更ログ、認証ログなどを点検し、不審な痕跡（不明な管理操作、設定の急な変更、異常な認証試行など）があればログを保全して詳細調査を行う。必要に応じて外部のセキュリティベンダーやCSIRTへの相談を検討する。

CSRIからの現場アドバイス

実際のペネトレーションテストでは、印刷管理サーバーが「社内だから安全」と扱われ、管理画面が広いネットワークから到達可能なまま残っている例が多い。診断報告書でよく指摘されるのが、更新停止や権限の過剰付与で、運用の都合が優先されがちである。

例えるなら、社内の受付にある「来客台帳」が誰でも書き換えできる状態のようなものだ。つまり、印刷や認証の仕組みを管理する中枢に触れられると、業務の流れ全体が乱れたり、記録が外に漏れたりする可能性があるということである。

まず、PaperCut NG/MFのバージョンと設置場所を確認する。次に担当者（または保守ベンダー）に、PaperCut Softwareのアドバイザリに基づく影響範囲の照合と緊急パッチ／修正版の適用可否、適用手順の提示を依頼する。最後に、管理画面の公開範囲を点検し、社外からの到達を止めるとともに、信頼済みネットワークからのみアクセスできるように制限する。

参照: Weekly Report: PaperCut NGおよびPaperCut MFに複数の脆弱性