PaperCut の脆弱性が、いま実際に攻撃に使われています。2026年8月27日に PaperCut 社が緊急のセキュリティ勧告を出し、翌28日に緊急パッチが公開されました。ところがそのパッチは、公開されたその日のうちに研究者の手で破られています。当てた側からすると「昨日の作業は何だったのか」という話です。学校やオフィスの印刷サーバーを預かっている方は、当てたつもりのまま止まっていないか、いま一度ご確認ください。
話の発端は8月27日です。PaperCut 社が「攻撃を確認した」という緊急勧告を出しました。きっかけは、ある大学の顧客側で動いていたセキュリティ・フォレンジックのチームが異常に気づき、その調査結果をメーカーに渡したことでした。メーカーが自力で見つけたのではなく、現場の担当者が見つけた話です。
見つかったのは2つの穴で、しかも単独ではなく「つないで」使われています。ひとつ目で認証をすり抜け、ふたつ目でサーバー上に任意のコードを実行する。ログインもしていない相手に、印刷サーバーの中で好き勝手をされる状態です。印刷管理ソフトが、そのまま社内への入口になります。
2つの脆弱性のうち、CVE-2026-81578 は Web 管理画面の認証バイパスで深刻度 8.8。認証チェックが終わる前に、管理用の処理が動いてしまう条件があるというものです。もう一方の CVE-2026-82078 は深刻度 9.4 で、データベース接続まわりのクラス読み込みに検証がなく、設定パラメータをいじれる相手が任意の Java コードを実行できます。
ここでひとつ、名前をつけておきたい現象があります。「地味なサーバー問題」です。誰も話題にしない、誰も自分の担当だと思っていない、去年からずっと同じバージョンで動いている、そういう装置ほど攻撃者にとって都合がいい、というやつです。この記事の最後にもう一度出てきます。
1回目の緊急パッチが出たのが8月28日。そして同じ28日のうちに、2回目の「Emergency Patch Release 2」が出ています。中1日ですらありません。同じ日です。
理由ははっきりしていて、セキュリティ企業の watchTowr と Huntress が、1回目の修正を回避する方法を複数見つけたからです。しかも watchTowr は、その過程でさらに別の認証バイパスまで発見して報告しています。攻撃の再現に成功した研究者が「この直し方だと、こう抜けられます」を短時間で並べた結果、メーカー側が同日中に作り直すことになった、という流れです。
攻撃の中身も少し触れておくと、PaperCut に同梱されているデータベースドライバの機能を踏み台にして、外部のデータベース接続先を攻撃者側に向けさせ、その初期化処理からスクリプトエンジン経由で OS のプロセスを起動させる、という経路が解析されています。技術的にはかなり手が込んでいて、読んでいて感心してしまう組み立てです。……とはいえ、感心しているとサーバーは守れません。管理者側でやることは「当て直す」「露出を止める」の2つで、経路の美しさは特に関係ありません。
ここからは事務的にいきます。上から順に確認してください。
狙われます。しかも今回が初めてではありません。2023年には PaperCut の別の脆弱性が悪用され、複数のランサムウェア集団や国家背景を持つ攻撃グループが参加する事態になりました。教育機関が標的にされ、FBI が注意喚起を出しています。印刷管理ソフトは、攻撃者からすると「学校と企業のネットワークの内側に置かれている、更新されにくいサーバー」です。これ以上ないほど条件が揃っています。
ShadowServer の集計では、いまも約1,000台の PaperCut がインターネットから見える状態にあります。北米と欧州が中心とされていますが、日本の学校や自治体でも導入例は珍しくありません。見えている台数より、忘れられている台数のほうが怖い数字です。
「地味なサーバー問題」の厄介なところは、担当者が悪いわけでも、手を抜いているわけでもない点にあります。派手なサーバーには目が向く。監視も入る。予算もつく。地味なサーバーは、動いているという理由だけで視界から消えていきます。そして攻撃者は、視界から消えたものを探しています。
正式な修正版のリリースはまだ作業中で、現時点で手に入るのは緊急パッチです。情報は日単位で動いているため、対応後も公式アドバイザリを定期的に見ておくことをおすすめします。
そして「地味なサーバー問題」に戻ります。今回いちばん危ないのは、この記事を読んでも「うちは印刷サーバーなんて置いてないはず」で終わってしまう組織です。置いていないのか、忘れているのか。その2つの区別がつく人が、社内に一人いるかどうかで結果が変わります。
