CyberSecurityAction

脆弱性情報

PaperCut NG/MFの全バージョンにゼロデイ脆弱性——悪用確認済み、緊急パッチを即時適用せよ

印刷管理ソフトPaperCut NGおよびPaperCut MFの全バージョンに影響するゼロデイ脆弱性が2026年8月27日に公表された。大学機関での顧客被害が確認されており、開発元は緊急パッチを公開。CVEは未採番だが公式アドバイザリに基づく即時対応が必要。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
PaperCut NG/MFの全バージョンにゼロデイ脆弱性——悪用確認済み、緊急パッチを即時適用せよ

THREAT GAUGE算出基準

IMPACT（影響範囲）8.5
URGENCY（対応緊急度）9.5
EXPLOIT（悪用の容易さ）8.5

“全バージョン影響・悪用確認済み・CVE未採番のゼロデイ”

01 · Overview

ニュースの概要

PaperCut Softwareは2026年8月27日、同社の印刷管理製品PaperCut NGおよびPaperCut MFの全バージョンに影響するゼロデイ脆弱性の悪用が複数の顧客環境で確認されたと発表した。CVEは未採番であるが、同社は緊急パッチを公開しており、特にアプリケーションサーバーをインターネット公開している組織に対して即時のパッチ適用またはアクセス制限を強く求めている。

PaperCut Softwareはウェブサービスとしての印刷管理ソリューションをグローバルに提供しており、日本を含む世界中の教育機関・医療機関・企業で広く採用されている。今回の脆弱性は、インターネットに公開されたPaperCutアプリケーションサーバーを対象とした攻撃で利用されており、開発者はサーバーのsever.logファイルが改ざん・削除されていることや、`pc-app.exe`プロセスからの不審な活動をIoCとして挙げている。

サーバーログに「ERROR No suitable driver found for jdbc:no:x」や「ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST」といったエラーが記録されている場合、侵害を受けている可能性がある。ただし同社は、これらのIoCが存在しない場合でも侵害の可能性を排除できないと警告しており、IoC非検出であっても楽観視は禁物である。

本脆弱性は現時点でCVEが割り当てられておらず、攻撃手法の詳細も非公開であるが、PaperCut Softwareは被害経緯を大学顧客から提供された情報をもとに脆弱性を再現したと明らかにしており、教育・研究機関が特に標的にされている可能性がある。過去の類似事例ではランサムウェアグループが大学や医療機関を優先ターゲットとしており、同じパターンが繰り返される懸念がある。

CVE番号
未採番（2026年8月27日公表）
影響製品
PaperCut NG / PaperCut MF全バージョン
悪用状況
複数顧客で悪用確認済み
攻撃条件
公開アプリサーバーが主要標的
修正状況
緊急パッチを公開済み
主なIoC
server.log改ざん/JDBC異常ログ

PaperCut公式アドバイザリ（2026-08-27公開）に基づく。CVEは未採番。攻撃手法の技術的詳細は非公開。侵害規模・攻撃者帰属は調査継続中。

02 · Analysis

詳細な原因解説

PaperCut Softwareは脆弱性の技術的詳細を現時点で非公開としているが、公開されたIoCや侵害パターンから以下の技術的機序が推定される。PaperCut NG/MFのアプリケーションサーバーはウェブベースの管理インターフェースとプリントサービスAPIを提供し、外部からのHTTPリクエストを処理する。ゼロデイ脆弱性はこのWebアクセス層のいずれかのエンドポイントに存在し、認証前または認証処理に関連する不備を悪用して任意のコードまたはSQLクエリを実行できると見られる。

IoCとして報告された「ERROR No suitable driver found for jdbc:no:x」はJDBC接続文字列の不正操作を示唆しており、SQLインジェクションまたはJDBC経由のコード実行に関連する可能性がある。「ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST」も同様にデータベース層での不正なクエリ操作を示す。PaperCutのアプリケーションサーバーはH2またはMySQLなどのデータベースエンジンを内部で使用しており、データベース層への不正アクセスを経由したOS側の権限昇格やコード実行が想定される。

影響が広範になる構造的理由として、PaperCut NG/MFは印刷管理プラットフォームとして多くの組織でWindows Serverや仮想マシン上のネットワーク中枢に配置されており、デフォルト構成でインターネット側からアクセス可能なポート（通常TCP 9191/9192）を開放しているケースがある。さらに「全バージョンが対象」という広い適用範囲は、ログ4j脆弱性（Log4Shell）などと同様に、パッチを当てていない多数のインスタンスが一度に危険にさらされる状況を作り出す。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

印刷管理サーバーのリスク再定義

Q. PaperCutを「印刷サーバー」としてではなく「高権限Webサービス」として見るとリスクはどう変わるか？

PaperCutはしばしば「プリンター管理ツール」として扱われ、セキュリティ上の優先度が低く設定されがちである。しかし実態は、ドメインユーザー認証情報・プリント内容・コスト管理データを保持するWebアプリケーションサーバーであり、Active Directoryと統合されている環境では高権限の内部サービスとして機能する。SCAMPER的に「置き換え（Substitute）」視点で見ると、PaperCutサーバーへのRCEはWebサーバーへの侵入と同等のリスクであり、ランサムウェアグループの初期アクセスベクターとして積極的に狙われる理由が理解できる。脆弱性管理の優先度を「プリンター関連」から「認証連携Webサービス」に格上げすることが求められる。

教育・医療機関が繰り返し標的になる構造

Q. なぜ大学や医療機関のPaperCutは特に狙われやすいのか？

教育・医療機関はPaperCutを学生・患者向けに広範なネットワークに展開するケースが多く、インターネット公開の必要性が高い傾向にある。また、IT人員・予算の制約からパッチ適用が遅れやすく、変更管理プロセスが民間企業と比較して柔軟性を欠くことが多い。さらに個人情報・研究データ・診療記録を保有する点が身代金交渉力を高め、ランサムウェア集団にとって高い回収率が期待できるターゲットとなる。CVE-2023-27350悪用時に実証されたClop・LockBit・Bl00dy Ransomwareの標的選定パターンが本件でも繰り返される可能性が高い。

リスクに比例した段階的な対応優先度

最優先はインターネット公開環境の即時対処である。PaperCutをインターネットに直接公開している組織は、パッチ適用とアクセス制限を同時並行で進める。既にIoCが検出された場合は侵害対応フローへ移行し、PaperCutサーバーをネットワークから隔離した上でフォレンジック調査を実施する。

内部ネットワーク限定で運用している組織は直接的な攻撃リスクは低いが、パッチ適用は計画的に実施する。PaperCutの過去の悪用履歴から、詳細なPoCが出回るのは脆弱性公表から1〜2週間以内であることが多く、内部ネットワークでもVPN経由での外部アクセス経路がある場合は同様の優先度で対応すべきである。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]（業種：[業種]）のIT管理者です。PaperCut NG/MFの未CVEゼロデイ脆弱性（2026年8月27日公表）について、以下を作成してください。1) 自組織のPaperCutサーバーのインターネット公開状況の確認手順、2) 緊急パッチ適用の段取りと担当者・スケジュール案、3) server.logのIoC確認コマンド（Windows/Linux両対応）、4) 侵害確認時の初動インシデント対応手順（隔離・保全・報告ライン）。[利用環境]に合わせた具体的な手順を日本語で作成してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の名称

組織の種別・業種

OSや仮想化基盤など

キーワード

  • PaperCut NG
  • PaperCut MF
  • ゼロデイ攻撃
  • 印刷管理ソフト
  • ランサムウェア初期アクセス

SOURCES · 参考情報源