PaperCutに緊急パッチ第2版、初版適用済みでも更新が必要

PaperCut Softwareは2026年8月28日、実際の悪用が確認されているPaperCut NG/MF向けに、追加の堅牢化を盛り込んだEmergency Patch Release 2を公開した。PaperCutの公式セキュリティ告知 は、初版の緊急パッチを適用済みの顧客にもRelease 2への更新を推奨し、顧客環境での侵害を確認したうえで調査を継続している。

管理者が直ちに行うべき対応は、インターネットから到達できるWebインターフェースを信頼済みIPだけに制限し、Release 2を導入するとともに侵害痕跡を調べることだ。英国NHS Englandの 8月28日付サイバーアラート も、PaperCut NG/MFの全バージョンを影響対象とし、v24、v25、v26にはRelease 2を適用するよう案内している。

第2版は初版適用済みの環境にも必要

Release 2は、社内セキュリティチームとHuntress、watchTowrによる追加調査を受け、初版よりも堅牢化を進めた緊急更新である。初版を導入しただけではRelease 2の変更を取り込めないため、導入済みパッケージがどちらなのかを確認し、第2版へ更新する必要がある。

公式の更新履歴では、最初の緊急パッチが8月28日午前2時10分（AEST）にv25、v26向けとして公開された。その後、同日午後8時42分にRelease 2、午後10時8分にv24向けRelease 2が追加された。いずれも日本時間では8月28日であり、同じ日のうちに配布内容が更新されたことになる。

PaperCutはRelease 2を通常工程による正式リリースではなく、ほかの緩和策を直ちに取れない外部公開サーバー向けの緊急パッチと位置付けている。ただし、導入勧告は外部公開環境だけに限定されておらず、全顧客に初版ではなくRelease 2を適用するよう求めている。

v24〜v26はRelease 2、v23以前は最新版へ

Release 2はPaperCut NGとPaperCut MFのv24、v25、v26向けに提供され、Windows、Linux、macOS用のパッケージとSHA-256チェックサムが公開されている。対象はプライマリApplication Serverだけではなく、Site Serverとセカンダリ／プリントサーバーもパッチ適用済みバージョンへ更新する必要がある。

v23以前には個別のRelease 2が用意されておらず、PaperCutは最新版へのアップグレードを推奨している。したがって、バージョン別の対応は、v24〜v26なら該当するRelease 2を導入し、v23以前なら現行版への移行を進める、という切り分けになる。

Print DeployとMobility Printは今回の影響を受けず、更新対象ではない。ただし、これらのコンポーネントを利用している環境でも、PaperCut NG/MFのApplication ServerやSite Serverなどは別に確認しなければならない。

パッチより先に外部からの到達経路を絞る

PaperCutが最優先としているのは、インターネットから到達可能なApplication ServerのWebインターフェースを、社内ネットワークなどの信頼済みIPアドレスだけに制限することだ。ファイアウォール、ネットワークアクセス制御、または同等の仕組みを使い、信頼できない外部アドレスから接続できない状態にする。

この制限は、不審な動作が見つかっていない環境にも必要とされている。Release 2の準備中も外部公開を続けず、ロードバランサー、リバースプロキシ、NAT、クラウド側のセキュリティルールを含め、実際にインターネットから到達する経路を基準に確認する必要がある。

今回公表されたCVE-2026-81578はWeb管理インターフェースのアクセス制御不備で、特定条件下では認証前のリクエストによって一部のシステム設定を変更される可能性がある。CVE-2026-82078はデータベース接続機能における安全でない動的クラス読み込みの問題で、設定を操作できる攻撃者による任意のJavaバイトコード実行につながり得る。Release 2は両方の問題を緩和する更新として示されている。

pc-app.exeとserver.logを中心に侵害を調べる

侵害調査では、PaperCut Application Serverに関するEDR、侵入検知、ネットワーク監視の警告を確認する。特に、正規プロセスであるpc-app.exeを起点とした不審な侵害後活動が確認項目に挙げられている。

次にserver.logが存在するか、予期せず途中で切れていないか、削除されていないかを調べる。BleepingComputerのRelease 2に関する報道 は、初版に対する複数の回避方法が研究者から共有された経緯に加え、pc-app.exeの不審な活動、server.logの欠落や途中切れ、二つのエラー文字列を確認項目として伝えている。

公表されているserver.logの文字列は次の二つである。

• ERROR No suitable driver found for jdbc:no:x
• ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST

これらの文字列が見つかった場合は、その前後のプロセス実行、外部通信、設定変更、認証記録と照合する必要がある。一方、ログ自体が欠落または削除されている状態も侵害指標に含まれるため、該当エラーが記録されていないことだけで影響なしとは判断できない。

Release 2を入れても過去の侵害は否定できない

Release 2は脆弱性への対処と追加の堅牢化を目的とするが、適用前に侵害されていなかったことを証明するものではない。PaperCutも、公表済みの指標が見つからない場合であっても、システムが影響を受けていないとは確認できないと明記している。

現時点では攻撃主体は公表されておらず、侵害後の活動や影響範囲についても調査が続いている。公式告知は、検証済みの侵害指標や修復情報が得られ次第更新される予定であり、現在の調査結果だけで最終判断を下せる段階ではない。

確認されているのは、PaperCut NG/MFの顧客環境で実際の悪用が起き、v24〜v26向けにRelease 2が提供され、初版適用済みの顧客も更新対象になったことだ。管理者には、外部公開の制限、関連サーバーを含む更新、pc-app.exeとserver.logを軸にした侵害調査を並行して進める対応が求められている。