CodexとDeepSeekを組み合わせたPaperCut攻撃、26秒で11組織に侵入
2026年9月12日 14:08
印刷管理ソフトウェア「PaperCut NG」「PaperCut MF」の脆弱性を狙い、AIエージェントを利用して攻撃を大規模化するキャンペーンが確認された。GreyNoiseによると、48カ国の395組織が運用する少なくとも440のPaperCut環境が侵害され、教育分野が被害の約半数を占めた。
攻撃では、OpenAIのCodexを利用した実行基盤とDeepSeekのモデル、一般に公開されている攻撃ツールが組み合わされていた。PaperCutを運用する組織には、9月10日に公開されたセキュリティ保守リリースへの更新と、すでに侵害されていないかを確認する調査が求められる。
■48カ国395組織のPaperCut環境に侵入
脅威インテリジェンス企業のGreyNoiseは2026年9月9日、AIを利用してPaperCut NG／MFの脆弱性を悪用した攻撃キャンペーンについて報告した。同社が確認した範囲では、48カ国の395組織が運用する少なくとも440のPaperCut環境が侵害された。このほかにも、運営組織を特定できなかった被害環境があるという。
GreyNoiseは、攻撃者について、使用言語や攻撃インフラなどからロシア語話者である可能性が高いと中程度の確信度で評価している。攻撃に使われたIPアドレスの一つは「45.142.193.132」で、同社は2026年7月上旬から、複数の企業が提供するインターネット公開システムを探索する活動との関係を追跡していた。
このインフラは8月31日、PaperCutを狙う活動に使われ始めた。攻撃者は、脆弱なPaperCutとActive Directoryサーバを組み合わせた検証環境を構築し、実際の組織を攻撃する前に脆弱性の悪用と認証情報の取得を試していた。
GreyNoiseによると、攻撃者は作業環境を用意してから4時間未満で実在する組織のPaperCutサーバに対するリモートコード実行に成功し、その約2時間後には最初のドメイン管理者権限を取得した。攻撃を並列化した段階では、少なくとも11組織への侵入が26秒間に発生した。米国の高校では、初期侵入からドメイン管理者権限の取得まで7分だったという。
■認証回避とコード実行の脆弱性を連鎖
攻撃で悪用されたのは、CVE-2026-81578とCVE-2026-82078である。PaperCutは8月27日にセキュリティ情報を公開し、米サイバーセキュリティー・インフラ安全保障庁（CISA）は8月31日、実際の悪用が確認された脆弱性をまとめる「既知の悪用された脆弱性カタログ」に両件を追加した。
CVE-2026-81578は、PaperCut NG／MFのWeb管理インターフェースにあるアクセス制御の不備で、深刻度を示すCVSS v4.0の基本値は8.8である。特定の条件下では、認証されていない遠隔の攻撃者が、アクセス権限の検証が完了する前に管理機能を呼び出し、一部のシステム設定を変更できる。
CVE-2026-82078は、外部データベースを使用したカード番号やIDの照合機能に関連する動的クラス読み込みの脆弱性で、CVSS v4.0の基本値は9.4である。システム設定を操作できる攻撃者は、PaperCutサーバのクラスパス上にある任意のJavaバイトコードを、同サーバのプロセス権限で実行できる。
攻撃者は、前者によって設定を変更し、後者へつなげることで、認証を経ずにリモートコード実行へ到達した。PaperCut NG／MFはセルフホスト型のJavaアプリケーションで、Windowsでは標準でSYSTEM権限により動作する。このため、悪用に成功した場合はサーバ上で強い権限を得られる。
GreyNoiseによると、同社が観測したPaperCut環境はActive Directoryと連携し、ドメインに参加している場合が多かった。PaperCutサーバ上の権限と認証情報が、その後のActive Directoryへの侵入に利用された形である。
■CodexとDeepSeekを組み合わせて攻撃を並列化
GreyNoiseの分析では、攻撃者はOpenAIのCodexを利用した実行基盤、DeepSeekのモデル、複数の公開攻撃ツールを組み合わせていた。AIは、脆弱性に関する調査、コードの作成と修正、検証環境での試行、標的候補の整理、大規模な攻撃、侵入後の処理に利用されたという。
標的候補の収集には、インターネット上の公開システムを検索するNetlas.ioが使われた。攻撃者は検索結果を絞り込み、到達可能性を確認したうえで、完了した対象を除外しながら失敗した処理を再試行する仕組みを構築していた。
Blackpoint Cyberも、外部から閲覧可能な状態になっていた攻撃者のインフラを調査し、脆弱性調査から実証コードの開発、標的の分類、失敗原因の分析、コード修正、再試行までを継続するAI支援型の作業環境を確認した。同社が回収した資料には500台を超える標的候補が含まれ、攻撃ツールは最大200台を並行処理できる構成になっていたという。
Blackpoint Cyberは、AIが新しい攻撃手法を発明したことよりも、調査、開発、デバッグ、分類、追跡、再試行、改善に必要な人手を大きく減らした点を重視している。従来から知られている攻撃技術を、個々の環境に合わせて高速かつ並列に適用したことが、今回の規模と速度につながった。
GreyNoiseは、DeepSeekのモデルが攻撃コードの開発に使われ、Codexを利用した基盤が複数の処理を調整したとしている。ただし、各モデルが実行した操作の全容や、攻撃者がどのサービスや導入形態を利用したかまでは明らかになっていない。
■教育分野が被害の約半数
侵害された440環境のうち、204環境が教育分野に属していた。GreyNoiseは、教育機関に被害が集中した状況について、特定の業界だけを狙った結果というより、PaperCutの利用者構成を反映した可能性があると分析している。
国別では、米国が98環境で最も多く、英国が59環境、フランスとスペインが各31環境、カナダが24環境だった。440環境のうち280環境で認証情報が取得され、147環境ではOSまたはドメインに関する秘密情報が持ち出された。12環境ではドメイン管理者権限の取得が確認された。
侵入後の動きは、被害環境の構成によって異なっていた。攻撃者は、PaperCutサーバに保存された認証情報やWindowsの秘密情報を取得するほか、過去のActive Directory脆弱性が未修正の環境では、それらを利用して権限昇格を試みていた。
PaperCutがドメインコントローラー上で稼働していたり、ドメイン管理者権限を持つサービスアカウントで動作していたりする環境では、新たに作成したアカウントを「Domain Admins」グループへ追加する操作も確認された。作成されたアカウント名の一つは「Administrator17」だった。
一部の環境では、Active Directoryの認証情報データベースに相当する情報も取得された。これにはドメイン内アカウントのパスワードハッシュが含まれるため、脆弱性を修正しただけでは侵害の影響を解消できない。漏えいした可能性がある認証情報の変更や、既存セッションと認証トークンの無効化も必要になる。
攻撃には、Mimikatz、SharpHound、Certipy、BloodHound、Rubeus、Impacket、NetExec、Ligolo-ngなど、企業ネットワークへの侵入テストや攻撃で知られるツールが使われた。LSAシークレットやレジストリ情報の収集を目的とするカスタムのRust製ツールも確認されている。
一方、GreyNoiseが調べた少なくとも1環境では、CloudflareのWeb Application Firewallが攻撃を遮断した。AIを利用して攻撃が高速化されても、システムをインターネットへ直接公開しないことや、防御層を追加すること、権限を必要最小限に制限することといった基本対策が、被害の防止や軽減につながる。
■攻撃者が設定した対象国の制限も一部で機能せず
攻撃者は、28カ国の組織を標的から除外するよう仕組みを設定していた。しかしGreyNoiseが確認した被害には、この除外対象に含まれていた南アフリカの9環境、ブラジルの5環境、中国、カザフスタン、ジンバブエの各1環境も含まれていた。
GreyNoiseは、この状況を「Agents Gone Wild」と表現している。今回確認されたのは、攻撃者が設けた国別フィルターが処理の一部で正しく適用されなかった事例であり、自律的な処理を多数並行させる運用では、オペレーターが設定した制約が一貫して維持されない可能性を示している。
攻撃側の自動化が進むほど、防御側は特定の業種や地域が攻撃対象から外れているという想定に依存しにくくなる。脆弱なシステムがインターネットから到達できる状態であれば、攻撃者の本来の対象選定とは関係なく、大規模な探索や自動処理に巻き込まれる可能性がある。
■PaperCutが保守リリースを公開
PaperCutは9月10日、PaperCut NG／MFのセキュリティ保守リリースとして、バージョン26.0.5、25.0.13、24.1.10を公開した。これらには、それまでに提供された3回の緊急パッチの修正と、追加のセキュリティ強化が含まれている。同社は、緊急パッチを適用済みの環境も含め、対応する保守リリースへ移行するよう求めている。
セキュリティ情報の対象はPaperCut NG／MFの全バージョンである。管理者は利用中の系列に対応した保守リリースへ更新し、外部データベースによるカード番号やIDの照合機能、Site Serverなどを使用している場合は、更新前後に必要な設定も確認する必要がある。
すでに悪用が始まっているため、更新だけで対応を終えるべきではない。PaperCutは侵害の兆候として、アプリケーションサーバからの不審な子プロセス実行、server.logの欠落や不自然な切り詰め、特定のデータベース接続エラー、見覚えのないクラスファイルやコマンドファイルなどを挙げている。攻撃者がファイルやログを削除する可能性もあるため、該当する痕跡がないことだけでは侵害を否定できない。
PaperCutがドメイン管理者権限を持つアカウントで動作している場合や、ドメインコントローラーへ直接導入されている場合は、構成を優先的に見直す必要がある。サービスアカウントには必要最小限の権限だけを与え、PaperCutの管理画面をインターネットから直接到達できる状態にしないことも重要となる。
Active Directoryでは、8月下旬以降に作成された不審なアカウント、管理者グループへの追加、サービスアカウントに付与された異常な権限、グループポリシーの変更などを調査する必要がある。侵害された可能性のあるPaperCutサーバで利用できた認証情報については、パスワードを変更し、関連する認証トークンやセッションを無効にする対応が求められる。
GreyNoiseは、確認したIPアドレス、ファイルのハッシュ値、使用ツールなどの侵害指標を公開している。ただし、攻撃者が別のインフラやファイルを使う可能性があるため、既知の侵害指標との一致だけでなく、PaperCutサーバとActive Directoryで発生した異常な挙動を含めて調査する必要がある。
攻撃者の最終目的は判明していない。多数の環境から認証情報を集めながら、直後の追加活動が確認されていない被害もあり、GreyNoiseは、侵入した組織へのアクセス権を第三者へ提供する活動と整合する可能性を指摘している。認証情報を変更しない限り、脆弱性の修正後も侵害された情報が別の攻撃に利用されるおそれが残る。
元記事: Attacker Used AI Agents to Hack 395 Organizations via PaperCut Print Flaws