Trusted Design

CVE-2026-81578 の詳細

CVEの情報

説明:
An improper access control vulnerability exists in the web management interface of PaperCut MF and PaperCut NG. Under specific conditions, unauthenticated remote requests targeting administrative functions can trigger backend actions prior to the completion of access validation checks. This allows an unauthenticated remote attacker to modify certain system configurations.

CVE更新日: 2026-08-28 16:18:29.600000

CVSSバージョン: 4.0

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2026-08-31

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.855810000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: True

AIを使った解説

解説:

CVE-2026-81578について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2026-81578は、PaperCut NGおよびPaperCut MFのウェブ管理インターフェースにおける不適切なアクセス制御の脆弱性です。特定の条件下で、認証されていないリモートの攻撃者が、アクセス検証が完了する前に管理機能に標的を定めたバックエンドアクションをトリガーできます。これにより、認証されていないリモートの攻撃者が特定のシステム設定を変更することが可能になります。

この脆弱性は、別の脆弱性であるCVE-2026-82078（安全でない動的クラスローディングの欠陥）と組み合わせて悪用されることで、認証されていないリモートコード実行（RCE）につながる可能性があります。

1.1 影響

  • 認証されていないリモートの攻撃者がシステム設定を変更できます。
  • CVE-2026-82078と組み合わされた場合、SYSTEMユーザーとして認証されていないリモートコード実行（RCE）が可能になります。
  • この脆弱性は実際に悪用されていることが確認されています。

1.2 深刻度

  • CVSSスコアは8.8（High）と評価されています。
  • CVSS:4.0の評価基準では、AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:L/SC:N/SI:N/SA:N で、基本スコアは8.8です。
  • 一部の情報源では、CVSS2の基本スコア10（Critical）やCVSS:3.1の基本スコア9.8（Critical）も示されています。

2. 対象となる環境

2.1 影響を受ける製品

  • PaperCut NG
  • PaperCut MF

2.2 影響を受けるOSバージョン

  • PaperCutは、現在、すべてのNGおよびMFバージョンが影響を受ける可能性があるとしています。
  • 緊急パッチがリリースされたバージョンは、24、25、26です。
  • 具体的には、バージョン24.1.10、25.0.13、および26.0.5で修正が含まれています。

2.3 影響を受ける設定

  • 脆弱性はウェブ管理インターフェースに存在します。
  • インターネットに公開されているPaperCut NG/MFアプリケーションサーバーが特にリスクにさらされます。

3. 影響を受けた時の兆候

  • システム探索、動的なJava .classペイロードのドロップ（例: Udydn.classおよびUdydn Moo97.class）、およびSYSTEMレベルのpc-app.exeアクティビティなどの活動が観測されています。
  • Huntressは、顧客環境でシステム探索に焦点を当てた悪用の証拠を発見しました。

4. 推奨対策

4.1 本対策

  • 緊急パッチリリース3に直ちにアップグレードしてください。このリリースには、パッチリリース1および2のすべての修正が含まれています。
  • 修正された特定のバージョンは、24.1.10、25.0.13、および26.0.5です。
  • プライマリアプリケーションサーバーだけでなく、サイトサーバーおよびセカンダリ/プリントサーバーもパッチを適用する必要があります。

4.2 暫定回避策（緩和策）

  • 他の緩和策を実施できない顧客向けに、緊急パッチ（リリース3）がリリースされています。
  • eSentireのThreat Response Unit（TRU）は、ネットワークとエンドポイントの両方のMDR全体で悪用を特定するための検出機能を開発しました。
  • eSentireのManaged Vulnerability Service（MVS）には、脆弱なデバイスを特定するためのプラグインがあります。

他に解説すべき観点

  • CISA KEVカタログへの追加: CVE-2026-81578とCVE-2026-82078の両方が、2026年8月31日にCISAの既知の悪用されている脆弱性（KEV）カタログに追加されており、活発な悪用が確認されています。
  • 公開日: この脆弱性は2026年8月27日に公開されました。
  • 悪用の状況: 顧客環境で確認済みのインシデントと、実環境での活発な悪用が報告されています。
  • 公開されているPoC: 公開された概念実証（PoC）エクスプロイトコードが利用可能です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る