印刷管理ベンダーPaperCutは、8月28日に広く展開されたPaperCut NGおよびMFソフトウェアの第二緊急パッチ(緊急パッチリリース2)をリリースしました。 8月27日に発行された元の修正を迂回する複数の方法の発見に続いて移動します。 複数のセキュリティ会社によると、2つのチェーン可能な脆弱性は、未認証のリモートコード実行(前のRCE)に積極的に活用されています。
2つの欠陥、1つの攻撃チェーン
2つの脆弱性に関する諮問機関。 CVE-2026-82078(CVSS 9.4)は、任意のJavaバイトコードの実行を可能にするデータベース接続ユーティリティの重要な安全でない動的クラスロード欠陥です。 CVE-2026-81578 (CVSS 8.8) は、不正な攻撃者がシステム構成を変更できるように、Web 管理インターフェイスで不適切なアクセス制御の問題です。 組み合わせて、2つのフォームは、完全な事前のRCEチェーンを形成します。 セキュリティ会社Huntressは、8月26日と27日の2つの顧客の環境でアクティブな悪用を観察しましたが、WatchTowrは欠陥を再現し、最初のパッチを迂回するための追加の技術を特定しました。
欠陥のあるバージョンと推奨動作
2026年8月27日以前にリリースされたすべてのNG/MFバージョンの影響を受けます。 PaperCutは、Windows、Linux、macOSの24、25、26のブランチで緊急パッチリリース2を提供します。 誰でもまだバージョン23以上で、現在のリリースにアップグレードする必要があります。
- 最初のパッチが既にデプロイされた場合でも、リリース2をインストールします。
- ファイアウォールルールによる信頼できるIPアドレスへのアクセスを制限します。
- 妥協のためのハント:疑わしい
pc-app.exe活動, 欠落server.logファイルと異常なデータベースエラーメッセージ。
ソース: ブリーピングコンピュータ, ハントレス, PaperCutセキュリティブレット
