PaperCut NG/MFの2件の深刻な脆弱性が悪用確認 — 米CISAがKEVに登録、認証欠如とUnsafe ReflectionでRCEの恐れ

米サイバーセキュリティ・インフラストラクチャ安全保障局（CISA）は2026年8月31日、印刷管理ソフトウェアPaperCut NGとPaperCut MFに存在する2件の脆弱性を、悪用が確認された脆弱性の一覧であるKnown Exploited Vulnerabilities（KEV）カタログに追加したと発表した。対象はCVE-2026-81578とCVE-2026-82078で、CISAは悪用の証拠に基づいて登録したと説明している。

CISAがKEVに登録した2件

CISAが公表したアドバイザリによると、登録されたのは次の2件である。

• CVE-2026-81578 PaperCut NG/MF Missing Authentication for Critical Function — 重要な機能に対する認証が欠如している脆弱性
• CVE-2026-82078 PaperCut NG/MF Unsafe Reflection Vulnerability — 安全でないリフレクション（動的なクラス読み込み）に起因する脆弱性

いずれもPaperCut NGとPaperCut MFが影響を受ける。CISAは「こうした脆弱性は悪意ある攻撃者に頻繁に悪用され、連邦企業に重大なリスクをもたらす」と指摘している。KEVへの登録は、実際に悪用が観測されたことを意味する。

PaperCut NGとPaperCut MFは、企業や教育機関などで印刷ジョブの管理や課金、認証を担うサーバ製品である。印刷サーバは社内ネットワークからアクセス可能な位置に置かれることが多く、脆弱性が悪用されると内部ネットワークへの足がかりとなる恐れがある。

影響と求められる対応

CISAは、連邦民間行政府機関（FCEB）に対しては拘束的運用指令BOD 26-04に基づいて対応を求めている。BOD 26-04は、KEVに登録された脆弱性のうち、公開された資産で悪用後に資産全体の制御を奪われる恐れがあるものを優先して迅速に是正し、パッチ適用前に侵害がなかったか確認することを求める枠組みである。

CISAは、BOD 26-04はFCEB機関にのみ適用されるものの、すべての組織に対してリスクベースの脆弱性管理とKEV登録脆弱性の優先的な是正を推奨すると呼びかけている。新たな脆弱性は基準を満たすものから順次カタログに追加される。

CISAは、修正や緩和策の詳細は各脆弱性のベンダー情報を参照するよう案内している。PaperCutを利用する組織は、管理コンソールや印刷サーバがインターネットに公開されていないかを確認し、ベンダーが提供する修正プログラムの適用状況を点検することが求められる。

出典

• CISA Adds Two Known Exploited Vulnerabilities to Catalog