- ひとことでPaperCutで、ログインせずに一部のシステムの設定を書き換えられる弱点です。
- 深刻度9.8 緊急CVSS v3.1
- まずやること26.0.5か25.0.13か24.1.10に更新する
基本情報（データから表示）
| CVE番号 | CVE-2026-81578 |
|---|---|
| 製品 | PaperCut NG/MF |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2026-08-31 |
| 米国政府機関の対応期限 | 2026-09-14 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-306（重要な機能での認証の欠如） |
何が起きた
印刷の管理ソフト PaperCut NG と PaperCut MF の管理画面に、アクセスの確認が終わる前に管理用の処理が動いてしまう弱点が見つかり、実際に悪用が確認されています。特定の条件のもとで、ログインしていない攻撃者に、一部のシステムの設定を書き換えられるおそれがあります。この弱点は、Java のプログラムを実行される弱点 CVE-2026-82078 と組み合わせて悪用されるおそれがあります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
PaperCut NG と PaperCut MF を使っている組織が影響を受けます。修正済みの版は 26.0.5、25.0.13、24.1.10 です。
何をすればいい
PaperCut NG/MF を 26.0.5、25.0.13、24.1.10 のいずれか（使っている系列に合わせる）に更新してください。サーバーがインターネットから見える場合は、すぐにウェブの画面を信頼できる IP アドレスからだけ使えるようにします。server.log の不審な記録や、覚えのない遠隔操作のソフト（AnyDesk など）がないかも確かめましょう。
やることチェックリスト
- 26.0.5か25.0.13か24.1.10に更新する
- ウェブの画面を信頼できるIPアドレスに限る
- server.logと覚えのないサービスを確かめる
用語メモ
- PaperCut
- 会社や学校で、印刷を管理したり記録したりするためのソフトです。
- 管理画面 用語集で見る
- ソフトの設定を変えるための、管理者向けの画面のことです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
PaperCut NG/MF Missing Authentication for Critical Function Vulnerability
概要
PaperCut NG/MF contains a missing authentication for critical function vulnerability which allows an unauthenticated remote attacker to modify certain system configurations. This vulnerability can be chained with CVE-2026-82078.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
この元データの出どころ: CISA KEV カタログで見る