PaperCut の脆弱性が、いま実際に攻撃に使われています。2026年8月27日に PaperCut 社が緊急のセキュリティ勧告を出し、翌28日に緊急パッチが公開されました。ところがそのパッチは、公開されたその日のうちに研究者の手で破られています。当てた側からすると「昨日の作業は何だったのか」という話です。学校やオフィスの印刷サーバーを預かっている方は、当てたつもりのまま止まっていないか、いま一度ご確認ください。
先に結論
PaperCut NG/MF を使っているなら、緊急パッチの2回目「Emergency Patch Release 2」が適用済みかを今すぐ確認してください。1回目のパッチだけでは不十分です。
対象は v24・v25・v26(Windows/Linux/macOS)。v23 以前には緊急パッチが提供されず、最新版へのアップグレードが必要です。2件の脆弱性 CVE-2026-81578 と CVE-2026-82078 は、8月31日に米国 CISA の悪用済み脆弱性カタログ(KEV)にも登録されました。
PaperCut の脆弱性で、いま何が起きているのか
話の発端は8月27日です。PaperCut 社が「攻撃を確認した」という緊急勧告を出しました。きっかけは、ある大学の顧客側で動いていたセキュリティ・フォレンジックのチームが異常に気づき、その調査結果をメーカーに渡したことでした。メーカーが自力で見つけたのではなく、現場の担当者が見つけた話です。
見つかったのは2つの穴で、しかも単独ではなく「つないで」使われています。ひとつ目で認証をすり抜け、ふたつ目でサーバー上に任意のコードを実行する。ログインもしていない相手に、印刷サーバーの中で好き勝手をされる状態です。印刷管理ソフトが、そのまま社内への入口になります。
用語:PaperCut NG/MF とは
PaperCut NG/MF とは、印刷枚数の集計・課金・利用者認証をサーバー側でまとめて管理する印刷管理ソフトである。学校・大学・自治体・病院・企業などで広く導入されており、複合機のパネルにID入力やカードをかざす仕組みがあれば、その裏で動いていることが多い。NG は自前運用向け、MF は複合機との連携に対応した上位版で、今回の脆弱性はどちらにも影響する。クラウド版の PaperCut Hive/Pocket、および Print Deploy・Mobility Print は今回の対象外である。
2つの脆弱性のうち、CVE-2026-81578 は Web 管理画面の認証バイパスで深刻度 8.8。認証チェックが終わる前に、管理用の処理が動いてしまう条件があるというものです。もう一方の CVE-2026-82078 は深刻度 9.4 で、データベース接続まわりのクラス読み込みに検証がなく、設定パラメータをいじれる相手が任意の Java コードを実行できます。
一次情報
PaperCut 社は公式アドバイザリで、設定パラメータを操作できた場合に、アプリケーションのクラスパス上にある Java バイトコードが PaperCut サーバープロセスの権限で実行され得ると説明しています。同社はパッチ適用後も、Web インターフェースへのアクセスをファイアウォールなどで信頼できるIPアドレスに限定するよう求めています。
ここでひとつ、名前をつけておきたい現象があります。「地味なサーバー問題」です。誰も話題にしない、誰も自分の担当だと思っていない、去年からずっと同じバージョンで動いている、そういう装置ほど攻撃者にとって都合がいい、というやつです。この記事の最後にもう一度出てきます。
なぜ1回目の緊急パッチでは足りなかったのか?
1回目の緊急パッチが出たのが8月28日。そして同じ28日のうちに、2回目の「Emergency Patch Release 2」が出ています。中1日ですらありません。同じ日です。
理由ははっきりしていて、セキュリティ企業の watchTowr と Huntress が、1回目の修正を回避する方法を複数見つけたからです。しかも watchTowr は、その過程でさらに別の認証バイパスまで発見して報告しています。攻撃の再現に成功した研究者が「この直し方だと、こう抜けられます」を短時間で並べた結果、メーカー側が同日中に作り直すことになった、という流れです。
店長より
パッチを当てた担当の方が悪いわけでは、まったくありません。当てた翌朝に「もう一度当ててください」が届く。これは腹が立って当然です。ただ、当て直さないと状況は変わらないので、そこだけは。
攻撃の中身も少し触れておくと、PaperCut に同梱されているデータベースドライバの機能を踏み台にして、外部のデータベース接続先を攻撃者側に向けさせ、その初期化処理からスクリプトエンジン経由で OS のプロセスを起動させる、という経路が解析されています。技術的にはかなり手が込んでいて、読んでいて感心してしまう組み立てです。……とはいえ、感心しているとサーバーは守れません。管理者側でやることは「当て直す」「露出を止める」の2つで、経路の美しさは特に関係ありません。
一次情報
Huntress は顧客2社の環境で悪用を確認し、最初の試行は8月26日だったと報告しています。観測された動きはシステム情報の収集が中心で、マルウェアの設置や持続的な侵入の痕跡は確認されていないとのことでした。ただし9月1日には watchTowr が、単なる探索から人間が手を動かして侵入先を調べる段階へ移ったと述べています。攻撃の性質が数日で変わっている点は押さえておきたいところです。なお CISA は8月31日、この2件を悪用済み脆弱性カタログに追加しました。
管理者がいますぐやるべき5つのこと
ここからは事務的にいきます。上から順に確認してください。
1
バージョンと公開状況を確認する
管理者用 Web 画面にログインし、PaperCut NG/MF のバージョンを確認します。あわせて、そのサーバーがインターネットから直接到達できる状態かどうかを確認してください。社外から管理画面が開けるなら最優先の対応対象です。
2
Emergency Patch Release 2 を適用する
v24・v25・v26 向けに、Windows・Linux・macOS 版が提供されています。1回目の緊急パッチを適用済みの環境でも、Release 2 を重ねて適用する必要があります。v23 以前を使っている場合は緊急パッチが用意されていないため、サポート対象の最新版へアップグレードします。
3
サイトサーバーと二次サーバーも更新する
Site Server やセカンダリの印刷サーバーも修正済みバージョンへ更新するよう案内されています。メインのアプリケーションサーバーだけで完了にしないでください。Print Deploy と Mobility Print は影響を受けないため、更新は不要です。
4
管理画面へのアクセスを制限する
ファイアウォールのルールやネットワークアクセス制御で、Web インターフェースへ接続できる範囲を信頼できるIPアドレスに絞ります。これはパッチ適用後も継続して推奨されている措置です。
5
ログと痕跡を点検する
server.log が消えていないか、途中で切れていないかを確認します。ドライバが見つからない旨のエラーや、カードID照会に関するデータベースエラーが記録されていないかも確認対象です。pc-app.exe プロセスからの不審な動作、および侵入検知・エンドポイント製品のアラートもあわせて確認してください。
パッチを当てれば終わり、ではない場合があります
watchTowr は、ここ数日のあいだにインターネットへ公開されていて未パッチだった時間があるなら、その環境は攻撃者に侵害されたものとして扱うべきだ、という見解を示しています。パッチ適用は「これ以上入られない」ための処置であって、「すでに入られていない」ことの証明にはなりません。露出していた心当たりがある環境では、更新と並行してログ調査を行ってください。判断に迷う場合は、社内の情報部門や導入業者に状況を共有するのが確実です。
印刷サーバーは本当に狙われないのか?
狙われます。しかも今回が初めてではありません。2023年には PaperCut の別の脆弱性が悪用され、複数のランサムウェア集団や国家背景を持つ攻撃グループが参加する事態になりました。教育機関が標的にされ、FBI が注意喚起を出しています。印刷管理ソフトは、攻撃者からすると「学校と企業のネットワークの内側に置かれている、更新されにくいサーバー」です。これ以上ないほど条件が揃っています。
ShadowServer の集計では、いまも約1,000台の PaperCut がインターネットから見える状態にあります。北米と欧州が中心とされていますが、日本の学校や自治体でも導入例は珍しくありません。見えている台数より、忘れられている台数のほうが怖い数字です。
店長より
店頭でも、業務用の周辺機器まわりは「入れた業者さんに任せてある」で止まっているお話をよく伺います。任せること自体は正しいのですが、いま誰が更新を見ているかだけは、押さえておいてください。
「地味なサーバー問題」の厄介なところは、担当者が悪いわけでも、手を抜いているわけでもない点にあります。派手なサーバーには目が向く。監視も入る。予算もつく。地味なサーバーは、動いているという理由だけで視界から消えていきます。そして攻撃者は、視界から消えたものを探しています。
よくある質問
Q
PaperCut の1回目の緊急パッチを当てていれば安心ですか?
A
不十分です。1回目の緊急パッチには複数の回避方法が見つかっており、追加の対策を含む Emergency Patch Release 2 が同じ8月28日に公開されています。PaperCut 社は、1回目を適用済みの利用者に対しても Release 2 の適用を求めています。
Q
古いバージョンの PaperCut を使っていますが、対象になりますか?
A
対象になります。緊急パッチは v24・v25・v26 向けに提供されており、v23 以前についてはパッチを待たずに最新版へアップグレードするよう案内されています。まず管理画面でバージョンを確認し、公式のセキュリティ情報と照らし合わせてください。
Q
社員や生徒のパソコンが直接狙われるわけではないですよね?
A
今回の攻撃対象はサーバー側のソフトなので、利用者のパソコンが直接狙われるものではありません。ただしサーバーを乗っ取られると、そこを起点に社内・校内のネットワークやデータへ被害が広がる可能性があります。実際に2023年の同種の攻撃では、教育機関がランサムウェアの標的になりました。管理者側の対応が守りの中心になります。
正式な修正版のリリースはまだ作業中で、現時点で手に入るのは緊急パッチです。情報は日単位で動いているため、対応後も公式アドバイザリを定期的に見ておくことをおすすめします。
そして「地味なサーバー問題」に戻ります。今回いちばん危ないのは、この記事を読んでも「うちは印刷サーバーなんて置いてないはず」で終わってしまう組織です。置いていないのか、忘れているのか。その2つの区別がつく人が、社内に一人いるかどうかで結果が変わります。
この記事を書いた人
ピシコ店長
苫小牧市のパソコン・スマホ修理店「ピシコ」店長。PC・スマホ修理歴16年。店頭での実際の修理事例をもとに、地域の方に役立つ情報を発信しています。
プロフィール詳細
「うちの環境が対象かどうか」から、一緒に確認します。
パッチは当てたが不安が残る、そもそもどのサーバーが該当するのか分からない。そんな状態のままにしておくのがいちばん危険です。ネットワーク環境も含めた確認をお手伝いします。
まずはご相談から
LINEは24時間受信・返信は月〜土 9:30〜19:00
