目次（5）
CVE-2026-81578
CVE-2026-82078
PaperCut NG/MF の管理用 Web 画面に、認証なしのリモートの攻撃者がシステム設定を書き換えられる欠陥（CVE-2026-81578）が見つかりました。さらに、設定を変えられた場合に、サーバープロセスの権限で Java のバイトコードを実行できる別の欠陥（CVE-2026-82078）があり、CISA はこの 2 件を連鎖して悪用できると説明しています。2 件とも CISA の KEV（悪用が確認された脆弱性）カタログに 2026-08-31 に追加されています。CVE-2026-81578 は NVD の CVSS v3.1 が 9.8、悪用予測（EPSS）は 0.847 と高い水準です。
概要
| 項目 | CVE-2026-81578 | CVE-2026-82078 |
|---|---|---|
| 問題 | 重要な機能に認証がない（CWE-306 / CWE-305）。認証前に管理機能の処理が実行され、設定が書き換えられる | 安全でない動的クラス読み込み（CWE-470）。データベースドライバー名を検証せずに読み込み、クラスパス上の任意の Java バイトコードを実行できる |
| 攻撃条件 | ネットワークから到達できれば認証不要・操作不要（AV:N/AC:L/PR:N/UI:N） | 設定パラメーターを変更できる攻撃者が前提（CVSS v3.1 は PR:H） |
| CVSS v3.1 | 9.8（NVD） | 9.1（NVD） |
| CVSS v4.0 | 8.8 | 9.4 |
| EPSS | 0.847（パーセンタイル 0.997） | 0.630（パーセンタイル 0.992） |
| CISA KEV | 2026-08-31 追加。期限 2026-09-14 | 同左。CVE-2026-81578 との連鎖と記載 |
| NVD の状態 | Analyzed | Analyzed |
対象は PaperCut MF と PaperCut NG の次の系統です。NVD の構成情報では、2 件とも同じ範囲で、下記の版より前が影響を受けます。
| 系統 | 影響を受ける範囲 |
|---|---|
| 24.x 以前 | 24.1.9 未満 |
| 25.0 系 | 25.0.2 以上 25.0.12 未満 |
| 26.0 系 | 26.0.2 以上 26.0.4 未満 |
なぜ重要か
PaperCut は学校や企業の印刷管理で広く使われるサーバーで、ユーザーの認証情報、印刷履歴、ディレクトリ連携の設定が集まる場所です。1 件目で認証なしに設定を書き換えられ、2 件目でその設定を足がかりにサーバー上でコードを実行できると、印刷サーバーを起点にした社内への侵入に使われるおそれがあります。KEV の記載どおり 2 件は連鎖が前提で、どちらか一方だけの修正では不十分です。EPSS が高いことは、悪用が起きやすい、または観測されていると見られていることを示します。
対策
- 利用中の PaperCut MF / NG の版を確認し、上表の影響範囲に入る場合は、ベンダーのセキュリティ情報（2026-08-27 付）の案内に従って修正版へ更新する。
- 更新までの間、管理用 Web 画面を VPN や社内ネットワークの内側に限定し、インターネットから直接到達できないようにする（一般的な対策であり、ベンダー案内ではない）。
- KEV の期限（2026-09-14）はすでに過ぎている。管理画面や設定の変更履歴、想定外のデータベースドライバー設定、サーバー上の不審なプロセスや新規アカウントがないかを調べる。
- 侵害の疑いがあれば、PaperCut に登録したディレクトリ連携や SMTP、データベースの認証情報を更新する。
数値と出典（2026-11-04 時点）
| 項目 | 内容 |
|---|---|
| NVD | 2 件とも Analyzed。81578 は NVD が 9.8、CNA が v4.0 8.8。82078 は NVD が 9.1、CNA が v4.0 9.4 |
| EPSS | 81578 は 0.847、82078 は 0.630（FIRST、2026-11-03） |
| KEV | 2 件とも 2026-08-31 追加。期限 2026-09-14。ランサムウェアでの利用は未確認 |
| 出典 | NVD、CISA KEV、FIRST、PaperCut セキュリティ情報 |
未確認の点
- 悪用の規模、攻撃者、実際の攻撃手順。KEV は悪用の確認を示すが、詳細は公開情報で確認できていない。
- 修正版の具体的な版番号。NVD の構成情報から上表の範囲を読み取ったもので、ベンダーの修正版一覧は確認できていない。
- 1 件目で書き換えられる設定の範囲。NVD は「特定のシステム設定」とのみ記載している。
- 更新できない場合の公式な回避策（上記のアクセス制限は一般的な対策）。
- PaperCut のクラウド版（Hive・Pocket）への影響。
この記事について
- 執筆・編集
- World Security 編集部
- AI の利用
- 本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-03〜04）のもので、未確認の点は本文に明記しています。
出典
- NVD CVE-2026-81578（NIST NVD）
- NVD CVE-2026-82078（NIST NVD）
- PaperCut Security Bulletin (27 Aug 2026)（PaperCut）
- CISA KEV カタログ CVE-2026-81578（CISA）
- CISA KEV カタログ CVE-2026-82078（CISA）
- FIRST EPSS（FIRST）
