--- title: "PaperCut NG/MF に認証なしで設定を書き換えられる欠陥（CVE-2026-81578）、別の欠陥（CVE-2026-82078）と連鎖してコード実行の恐れ: CVSS 9.8・EPSS 0.85、CISA KEV に追加済み" url: https://n-t-p.io/worldsecurity/articles/papercut-ng-mf-cve-2026-81578-82078-kev-unauth-config-change-rce-chain lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月3日 updated: 2026年11月3日 severity: 緊急 cve: CVE-2026-81578, CVE-2026-82078 --- # PaperCut NG/MF に認証なしで設定を書き換えられる欠陥（CVE-2026-81578）、別の欠陥（CVE-2026-82078）と連鎖してコード実行の恐れ: CVSS 9.8・EPSS 0.85、CISA KEV に追加済み > **TL;DR:** PaperCut NG/MF で、認証なしにシステム設定を書き換えられる欠陥（CVE-2026-81578、CVSS 9.8、EPSS 0.847）と、設定を足がかりにコードを実行できる欠陥（CVE-2026-82078）。2 件とも CISA KEV に 2026-08-31 追加済み。修正版へ更新し、侵害の有無を調べる。 **要点** - 認証なしで管理機能の処理が走り、システム設定を書き換えられる（CVE-2026-81578、CWE-306、NVD CVSS v3.1 9.8、EPSS 0.847） - 設定変更を足がかりに、サーバープロセスの権限で Java バイトコードを実行できる別の欠陥（CVE-2026-82078、CVSS 9.1）。CISA は 2 件の連鎖を指摘 - 2 件とも CISA KEV に 2026-08-31 追加（期限 09-14）。対象は MF/NG の 24.1.9 未満、25.0.2〜25.0.12 未満、26.0.2〜26.0.4 未満 - 更新と管理画面の公開範囲の制限、設定変更履歴の確認が必要。悪用の規模と修正版の詳細は未確認 PaperCut NG/MF の管理用 Web 画面に、認証なしのリモートの攻撃者がシステム設定を書き換えられる欠陥（CVE-2026-81578）が見つかりました。さらに、設定を変えられた場合に、サーバープロセスの権限で Java のバイトコードを実行できる別の欠陥（CVE-2026-82078）があり、CISA はこの 2 件を連鎖して悪用できると説明しています。2 件とも CISA の KEV（悪用が確認された脆弱性）カタログに 2026-08-31 に追加されています。CVE-2026-81578 は NVD の CVSS v3.1 が 9.8、悪用予測（EPSS）は 0.847 と高い水準です。 ## 概要 | 項目 | CVE-2026-81578 | CVE-2026-82078 | |---|---|---| | 問題 | 重要な機能に認証がない（CWE-306 / CWE-305）。認証前に管理機能の処理が実行され、設定が書き換えられる | 安全でない動的クラス読み込み（CWE-470）。データベースドライバー名を検証せずに読み込み、クラスパス上の任意の Java バイトコードを実行できる | | 攻撃条件 | ネットワークから到達できれば認証不要・操作不要（AV:N/AC:L/PR:N/UI:N） | 設定パラメーターを変更できる攻撃者が前提（CVSS v3.1 は PR:H） | | CVSS v3.1 | 9.8（NVD） | 9.1（NVD） | | CVSS v4.0 | 8.8 | 9.4 | | EPSS | 0.847（パーセンタイル 0.997） | 0.630（パーセンタイル 0.992） | | CISA KEV | 2026-08-31 追加。期限 2026-09-14 | 同左。CVE-2026-81578 との連鎖と記載 | | NVD の状態 | Analyzed | Analyzed | 対象は PaperCut MF と PaperCut NG の次の系統です。NVD の構成情報では、2 件とも同じ範囲で、下記の版より前が影響を受けます。 | 系統 | 影響を受ける範囲 | |---|---| | 24.x 以前 | 24.1.9 未満 | | 25.0 系 | 25.0.2 以上 25.0.12 未満 | | 26.0 系 | 26.0.2 以上 26.0.4 未満 | ## なぜ重要か PaperCut は学校や企業の印刷管理で広く使われるサーバーで、ユーザーの認証情報、印刷履歴、ディレクトリ連携の設定が集まる場所です。1 件目で認証なしに設定を書き換えられ、2 件目でその設定を足がかりにサーバー上でコードを実行できると、印刷サーバーを起点にした社内への侵入に使われるおそれがあります。KEV の記載どおり 2 件は連鎖が前提で、どちらか一方だけの修正では不十分です。EPSS が高いことは、悪用が起きやすい、または観測されていると見られていることを示します。 ## 対策 - 利用中の PaperCut MF / NG の版を確認し、上表の影響範囲に入る場合は、ベンダーのセキュリティ情報（2026-08-27 付）の案内に従って修正版へ更新する。 - 更新までの間、管理用 Web 画面を VPN や社内ネットワークの内側に限定し、インターネットから直接到達できないようにする（一般的な対策であり、ベンダー案内ではない）。 - KEV の期限（2026-09-14）はすでに過ぎている。管理画面や設定の変更履歴、想定外のデータベースドライバー設定、サーバー上の不審なプロセスや新規アカウントがないかを調べる。 - 侵害の疑いがあれば、PaperCut に登録したディレクトリ連携や SMTP、データベースの認証情報を更新する。 ## 数値と出典（2026-11-04 時点） | 項目 | 内容 | |---|---| | NVD | 2 件とも Analyzed。81578 は NVD が 9.8、CNA が v4.0 8.8。82078 は NVD が 9.1、CNA が v4.0 9.4 | | EPSS | 81578 は 0.847、82078 は 0.630（FIRST、2026-11-03） | | KEV | 2 件とも 2026-08-31 追加。期限 2026-09-14。ランサムウェアでの利用は未確認 | | 出典 | NVD、CISA KEV、FIRST、PaperCut セキュリティ情報 | ## 未確認の点 - 悪用の規模、攻撃者、実際の攻撃手順。KEV は悪用の確認を示すが、詳細は公開情報で確認できていない。 - 修正版の具体的な版番号。NVD の構成情報から上表の範囲を読み取ったもので、ベンダーの修正版一覧は確認できていない。 - 1 件目で書き換えられる設定の範囲。NVD は「特定のシステム設定」とのみ記載している。 - 更新できない場合の公式な回避策（上記のアクセス制限は一般的な対策）。 - PaperCut のクラウド版（Hive・Pocket）への影響。 ## 出典 - [NVD CVE-2026-81578](https://nvd.nist.gov/vuln/detail/CVE-2026-81578) — NIST NVD - [NVD CVE-2026-82078](https://nvd.nist.gov/vuln/detail/CVE-2026-82078) — NIST NVD - [PaperCut Security Bulletin (27 Aug 2026)](https://www.papercut.com/kb/Main/security-bulletin-27-aug-2026-urgent-security-advisory/) — PaperCut - [CISA KEV カタログ CVE-2026-81578](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-81578) — CISA - [CISA KEV カタログ CVE-2026-82078](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-82078) — CISA - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-81578,CVE-2026-82078) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/papercut-ng-mf-cve-2026-81578-82078-kev-unauth-config-change-rce-chain