프린트 관리 소프트웨어인 PaperCut NG/MF에서 새롭게 발견된 두 가지 보안 취약점(CVE-2026-81578, CVE-2026-82078)이 실제 공격에 악용되고 있습니다. 공격자들은 이 취약점을 연결해 인증 없이 서버에 접근한 뒤, 원격에서 악성 코드를 실행하고 관리자 계정을 만드는 등 시스템을 장악하고 있습니다. 특히 미국과 유럽의 초·중·고등학교 및 대학교를 표적으로 삼아 비밀번호·계정 정보를 훔치는 활동이 확인됐습니다. 탈취된 자격증명은 해당 기관의 다른 핵심 시스템으로 침투하는 발판이 될 수 있어 즉각적인 대응이 필요합니다. PaperCut 서버를 인터넷에 직접 노출하지 않도록 설정하고, 의심스러운 명령 실행 여부를 모니터링해야 합니다.
공격자들이 PaperCut NG/MF의 인증 우회(CVE-2026-81578)와 원격 코드 실행(CVE-2026-82078) 취약점을 연계 악용해 미국·유럽 교육기관의 PaperCut 서버를 침해하고, 자격증명 수집 도구 및 Meterpreter 페이로드를 배포했다.
Windows 레지스트리 하이브 수집, SAM 데이터베이스 접근을 통한 계정 정보 탈취, 특권 계정 생성이 확인됐으며, K-12 학교부터 주요 대학까지 교육 분야 전반이 피해를 입었다. 탈취된 자격증명은 교내 다른 핵심 시스템 침투에 재활용될 수 있다.
인터넷에 노출된 PaperCut 서버에 패치가 적용되지 않아 인증 없이 접근 가능한 상태가 방치됐고, 두 취약점을 연계한 공격 체인이 실제 악용됐다(CISA KEV 등재 확인).
PaperCut 서버를 인터넷에서 격리하고 즉시 패치를 적용해야 한다. cmd.exe, powershell.exe 등 명령 인터프리터의 실행과 whoami, tasklist, uname -a 등 정찰 명령어를 모니터링하며, pc-app.exe를 부모 프로세스로 하는 자식 프로세스를 탐지해야 한다.
lsa_collect.exe·save_hives.exe 등 자격증명 수집 도구의 유입 경로로 사용된 IP(45.142.193[.]132, 194.180.48[.]134)를 차단하고, PaperCut .config 파일에 대한 비정상적인 검색 명령(findstr + 'password', 'secret', 'ldap' 등)을 탐지 규칙으로 등록한다.
본문
Ravie Lakshmanan · 2026년 9월 5일 · 취약점 / 웹 보안
위협 행위자들이 새롭게 공개된 PaperCut 취약점을 악용해 미국과 유럽 교육 분야를 표적으로 자격증명을 탈취하고 있다.
Arctic Wolf Adversary Research Team은 공격자들이 CVE-2026-81578과 CVE-2026-82078 — 인증 우회와 원격 코드 실행(RCE; 원격에서 시스템 명령을 임의로 실행하는 공격)을 연계한 체인 — 을 악용해 명령 실행 및 정찰 활동을 수행하고, 특권 계정을 생성하는 사례를 포착했다고 밝혔다.
"관측된 침해 후(post-exploitation) 활동에는 Windows 레지스트리 하이브 수집 도구 배포, Metasploit/Meterpreter 관련 Java 페이로드, 그리고 호스트·사용자·프로세스·민감한 설정 데이터를 식별하는 명령어 실행이 포함됐다"고 Arctic Wolf는 밝혔다.
이 사이버보안 회사는 The Hacker News에 해당 활동이 취약한 PaperCut 서버를 운영하는 교육 분야를 표적으로 삼아, 미국과 유럽의 K-12 학교부터 주요 대학까지 광범위한 기관에 영향을 미치고 있다고 전했다.
확인된 주요 악성 활동은 다음과 같다.
- uname, whoami, ver, tasklist 등 정찰 명령 실행 및 특권 계정 생성("Administrator17")
- 침해된 호스트에서 수집된 시스템·사용자 데이터가 담긴 "/custom/pcp_.txt" 및 "/custom/web/pcp_.txt" 파일을 요청하는 "45.142.193[.]132" 발 인바운드 GET 요청
- "certutil.exe"를 통해 "45.142.193[.]132"에서 lsa_collect.exe, lsa_collect_small.exe, save_hives.exe 등 자격증명 수집 도구 전달
- "194.180.48[.]134"에서 Meterpreter Java 페이로드를 내려받고 동 주소로 세션 연결 수립
- "findstr"을 이용해 PaperCut *.config 파일에서 "password", "secret", "ldap", "bind", "token" 키워드 검색
Arctic Wolf는 샌드박스에서도 "lsa_collect.exe"를 탐지했으며, 이 도구는 특정 레지스트리 키를 추출해 시스템 BootKey를 재구성함으로써 공격자가 SAM(Security Account Manager) 데이터베이스에 접근할 수 있게 한다고 밝혔다.
"우려되는 점은 탈취된 자격증명이 공격자에게 환경 내 다른 중요 시스템으로 침투할 경로를 제공할 수 있다는 것"이라고 Arctic Wolf는 성명에서 밝혔다.
사용자들은 PaperCut 서버가 인터넷에 노출되지 않도록 제한하고, pc-app.exe를 부모 프로세스로 하는 cmd.exe, powershell.exe 또는 기타 스크립팅·명령 인터프리터의 실행과 whoami, tasklist, ver, uname -a가 포함된 명령어를 모니터링할 것을 권고받았다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
