PaperCutの脆弱性を突き数百のAIエージェントが440件超に侵入 — BlackpointとGreyNoiseが報告、日本でも2件確認

要点

• セキュリティ企業のBlackpoint CyberとGreyNoiseは2026年9月9日、印刷管理ソフト「PaperCut NG/MF」の2件の脆弱性を突く大規模悪用キャンペーンをそれぞれ報告した。攻撃者は数百のAIエージェントを使い、48か国で少なくとも440件のサーバ（395組織）に侵入した。
• 悪用されたのは認証バイパスの脆弱性「CVE-2026-81578」と、安全でないリフレクションによるリモートコード実行の脆弱性「CVE-2026-82078」の組み合わせだ。PaperCut NG/MFはWindows環境では既定でSYSTEM権限で動作し、Active Directoryと連携していることが多く、侵入後のドメイン侵害につながった。
• 被害は米国の教育機関に集中し、日本でも2件が確認されている。12組織ではドメイン管理者権限の奪取が確認され、攻撃者はDCSyncで組織全体の認証情報を抽出した。Blackpointは修正版への更新とインターネット公開の遮断を推奨している。

何が起きたか

Blackpointの調査チーム（Adversary Pursuit Group）は、インターネット公開されたPaperCutサーバへの侵入を封じ込めた際に攻撃を検知し、攻撃者の運用基盤（45.142.193[.]132）に残された公開ディレクトリから開発プロジェクトの全容を復元した。プロジェクトは8月31日に脆弱性情報の収集と比較から始まり、数時間でマルチスレッドの検証ツールに発展し、9月には標的選定・到達性確認・再試行を自動化する体制になっていた。

GreyNoiseの観測網（Global Observation Grid）によると、攻撃者は自前の実験環境に脆弱なPaperCutとActive Directoryサーバを用意して exploit を開発・検証し、インターネットスキャンサービス「Netlas.io」で標的リストを作成した。攻撃に使われたのはOpenAIのCodex用ハーネスとDeepSeekモデルを組み合わせた数百のAIエージェントで、公開されている攻撃ツールも併用されていた。

速度は突出している。攻撃者は空の作業環境から実被害への最初のRCE達成まで4時間弱、さらに2時間で最初のドメイン管理者権限奪取に至った。本格展開後は26秒で11組織に侵入し、米国のある高校では侵入から7分でドメイン管理者権限を奪取した事例もあった。

被害の規模と内訳

GreyNoiseによると、被害は440件（395組織、48か国）に上り、280件で認証情報の窃取、147件でOS・ドメインの機密取得、12組織でドメイン管理者権限の奪取が確認された。国別では米国98件、英国59件、フランス31件、スペイン31件、カナダ24件などで、日本は2件だった。

業種別では教育機関が204件と全体の半数近くを占めた。PaperCutが学校や大学で広く使われている顧客構成を反映したものとみられる。ほかに小売・専門サービス38件、不動産・宿泊29件、IT・印刷販売25件、非営利・宗教21件、政府・公共9件などが含まれる。

攻撃者は28か国を標的から除外する設定を持っていたが、実際には除外対象の国にも被害が出ており、GreyNoiseは「エージェントが想定から逸脱した例だ」と指摘している。

攻撃の手口

ドメイン管理者権限の奪取では3つの経路が確認された。PaperCutサーバがドメインに参加していた場合はLSASSメモリやレジストリの機密を取得してパス・ザ・ハッシュでドメインコントローラに侵入した。旧来の脆弱性（CVE-2021-42278、CVE-2021-42287）が残っていた環境では「noPac」攻撃を使った。PaperCut自体がドメインコントローラ上で動作していた場合は、新規作成した管理者アカウントをドメイン管理者に加えた。いずれの経路でも最終的にDCSyncでNTDS.DIT全体を抽出した。

Blackpointが復元した開発記録（stateファイル）には「ユーザーの要求で資料を収集中」「長時間スキャンをユーザーが中断」といった記述があり、AIが単にコードを生成しただけでなく、失敗の分類、標的リストの作り直し、コード修正、再試行の判断といった運用全体に組み込まれていたことが分かる。Blackpointは「AIの最大の効果は新しい攻撃手法の発明ではなく、数百の実システムに対する調査・開発・修正・追跡・再試行に必要な人手を削減した点だ」と分析している。

なお、1件ではCloudflareのWAFが攻撃を阻止しており、GreyNoiseは「基本的な堅牢化はAI攻撃にも有効だ」と指摘している。

Blackpointが推奨する対応

Blackpointは、PaperCut NG/MFの利用者に向けて次の対応を推奨している。

• 修正版への更新と確認: 影響を受けるPaperCut NG/MFを最新の修正版に更新し、稼働中のバージョンを確認する
• インターネット公開の遮断: PaperCutのアプリケーションサーバや管理画面を不要に公開せず、信頼できるIP範囲やVPN、プライベートネットワーク経路に制限する
• 侵害の広がりを前提とした調査: 侵害が疑われる場合はPaperCut単体でなく組織全体を対象にし、管理者アカウントの作成、認証情報へのアクセス、Active Directoryの探索、内部への横展開を確認する
• 不審なプロセスの監視: PaperCutのプロセス（pc-app.exeなど）がcmd.exeやpowershell.exe、whoami.exeなどを子プロセスとして起動していないか、想定外の外部接続がないかを確認する

PaperCutの脆弱性自体は2026年8月下旬以降に公開され、米CISAもKEV（悪用が確認された脆弱性の目録）に登録している。日本国内でも印刷管理システムを公開している組織は、修正状況と公開範囲を確認するとよい。

出典

• Blackpoint Cyber「Death by a Thousand PaperCuts: AI-Driven Exploitation at Scale」(2026年9月9日)
  • https://blackpointcyber.com/blog/death-by-a-thousand-papercuts-ai-driven-exploitation-at-scale/
• GreyNoise「Agents Gone Wild: An AI-Orchestrated Global Campaign Against PaperCut NG/MF」(2026年9月9日)
  • https://www.greynoise.io/blog/ai-orchestrated-campaign-against-papercut-ng-mf