Trusted Design

CVE-2026-82078 の詳細

CVEの情報

説明:
An unsafe dynamic class loading vulnerability exists in the database connection utilities of PaperCut MF and PaperCut NG. The application instantiates database driver classes based on configurable driver names without validating against an allowlist of approved drivers. If an attacker can manipulate system configuration parameters, this enables the execution of arbitrary Java bytecode residing on the application classpath under the security context of the PaperCut server process.

CVE更新日: 2026-08-28 16:18:31.240000

CVSSバージョン: 4.0

CVSSスコア: 9.4

KEVの情報

KEV更新日: 2026-08-31

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.635320000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: False

AIを使った解説

解説:

CVE-2026-82078は、PaperCut NGおよびPaperCut MF製品に影響を与える深刻な脆弱性です。この脆弱性は、他の脆弱性（CVE-2026-81578）と組み合わせて悪用されることで、認証されていないリモートからのコード実行（RCE）を可能にする可能性があります。

1. 脆弱性の概要

1.1 影響

CVE-2026-82078は、PaperCut MFおよびPaperCut NGのデータベース接続ユーティリティにおける安全でない動的クラスローディングの脆弱性です。この脆弱性により、攻撃者がシステム設定パラメータを操作できる場合、アプリケーションのクラスパス上に存在する任意のJavaバイトコードをPaperCutサーバープロセスのセキュリティコンテキストで実行することが可能になります。特に、CVE-2026-81578（不適切なアクセス制御の脆弱性）と連鎖させることで、認証されていないリモート攻撃者がPaperCut Application Server上でリモートコード実行（RCE）を達成し、機密データや認証情報へのアクセス、システムレベルのアクセス、および他のネットワークセグメントへの内部的な横移動の可能性が生じます。

1.2 深刻度

この脆弱性はCritical（緊急）と評価されています。CVSS 4.0スコアは9.4、CVSS 3.1スコアは9.1です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

影響を受けるのは、特定のOSバージョンではなく、PaperCut NG/MFの以下のバージョンです。 * PaperCut NG/MF バージョン 24.1.10 未満 * PaperCut NG/MF バージョン 25.0.13 未満 * PaperCut NG/MF バージョン 26.0.5 未満

2.2 影響を受ける設定

この脆弱性は、PaperCutが設定可能なドライバー名に基づいてデータベースドライバクラスをインスタンス化する方法に関連しています。具体的には、許可されたドライバーのホワイトリストによる検証が行われないことが問題です。特に、「外部カードルックアップ機能」の設定が関連しています。

3. 影響を受けた時の兆候

以下の兆候は、侵害の可能性を示している場合があります。 * pc-app.exeに関連する不審なポストエクスプロイト活動に関する侵入検知、エンドポイントセキュリティ、またはネットワーク監視ツールからのアラート。 * server.logファイルが欠落している、予期せず切り詰められている、または削除されている。 * server.logに以下のいずれかのエラーエントリが存在する： * ERROR No suitable driver found for jdbc:no:x * ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST

4. 推奨対策

4.1 本対策

  • PaperCut NG/MFのアップグレード: PaperCut NG/MFをバージョン 24.1.10、25.0.13、26.0.5、またはそれ以降にアップグレードしてください。これらは直接的な修正を含むバージョンであり、すべてのアプリケーションサーバー（サイトサーバーおよびセカンダリサーバーを含む）に適用する必要があります。
  • セキュリティパッチの適用: PaperCutがリリースした緊急パッチを適用してください。初期のパッチにはバイパスが存在したため、最新の「Emergency Patch Release 3」を適用することが推奨されます。

4.2 暫定回避策（緩和策）

  • ネットワーク露出の制限: PaperCut Application Serverのウェブインターフェースがパブリックインターネットからアクセスできないようにしてください。ファイアウォールルール、ネットワークアクセス制御、またはVPNを使用して、ウェブインターフェース（TCP 9191/9192およびHTTPSポート）が信頼できないインターネットアドレスから到達できないようにアクセスを制限してください。
  • パッチ適用済みのビルドでは、「External Card Lookup」を無効のままにしてください。
  • 危険な設定変更のブロックまたは制限: 外部カード/IDルックアップでCALL、EXEC、またはSYSCS_のようなSQLキーワードを許可しないようにしてください。設定ファイルでの動的ドライバークラス名を防止し、可能な場合はSELECT SQLステートメントテンプレートのみを使用し、予期しないドライバー設定がないか確認してください。

その他解説すべき観点

  • 連鎖的な脆弱性: CVE-2026-82078は、多くの場合、CVE-2026-81578（不適切なアクセス制御の脆弱性）と組み合わせて悪用され、認証されていないリモートコード実行を達成します。
  • 積極的な悪用: この脆弱性は、既に攻撃者によって積極的に悪用されていることが確認されており、CISAの既知の悪用されている脆弱性（Known Exploited Vulnerabilities）カタログにも追加されています。
  • AIエージェントによる悪用: AIエージェントが、これら2つのPaperCut NG/MFの脆弱性（CVE-2026-81578およびCVE-2026-82078）を悪用して、世界中の多数の組織に対する大規模な攻撃キャンペーンを実行したことが報告されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る