PaperCut製品に複数の脆弱性、HiveとNG/MFの対象版を確認

フランスのCERT-FRは2026年10月23日、PaperCut製品の複数の脆弱性を公表しました。対象はPaperCut HiveとPaperCut NG/MFの特定のバージョンです。一部の脆弱性では遠隔から任意のコードを実行される恐れがあり、利用企業は製品名と稼働中のバージョンを照合する必要があります。

HiveとNG/MFで異なる対象バージョン

CERT-FRが示した影響範囲は、次のとおりです。

• PaperCut Hive：2.3.0未満の全バージョン
• PaperCut NG/MFの24.x：24.1.11未満
• PaperCut NG/MFの25.x：25.0.13未満
• PaperCut NG/MFの26.0.x：26.0.5未満

NG/MFは、使っている系列ごとに比較する番号が異なります。「24.xを使っている」といった大まかな把握だけでは、今回の対象かどうかを判断できません。末尾まで含むバージョン番号の確認が必要です。

CERT-FRは、修正プログラムの入手について、ベンダーのセキュリティ情報を参照するよう案内しています。上記は影響を受ける範囲であり、更新先や適用手順はベンダーの案内で確認してください。日本向けの提供状況や修正プログラムの提供時期は、発表には書かれていません。

遠隔コード実行やデータの機密性へのリスク

CERT-FRは、一部の脆弱性によって、遠隔から任意のコードを実行される恐れがあるとしています。このほか、データの機密性が損なわれる恐れや、セキュリティポリシーを回避されるリスクも挙げています。

また、遠隔からXSS攻撃を受ける恐れもあります。XSSは、Webページを通じて不正なスクリプトを実行させる攻撃です。

関連する脆弱性の識別番号として、CVE-2026-11744、CVE-2026-14780、CVE-2026-82077、CVE-2026-87739が記載されています。ただし、今回の資料では、各番号と製品・影響の詳しい対応関係は示されていません。問い合わせや対応記録には、番号だけでなく製品名とバージョンも併記すると、確認対象を明確にできます。

影響する会社・しない会社

• 影響する: PaperCut Hiveの2.3.0未満を利用している会社です。
• 影響する: PaperCut NG/MFの24.xで24.1.11未満、25.xで25.0.13未満、26.0.xで26.0.5未満を利用している会社です。
• 影響しない: PaperCut HiveとPaperCut NG/MFのいずれも利用していない会社は、今回示された製品の確認対象ではありません。
• 影響しない: Hiveの2.3.0以上、NG/MFの24.xで24.1.11以上、25.xで25.0.13以上、26.0.xで26.0.5以上は、今回示された影響範囲には含まれません。他の系列については、発表には書かれていません。

対象範囲に含まれないことと、あらゆる脆弱性がないことは別です。今回の対象判定と、製品全体の更新管理は分けて記録してください。

情シスが今日やること

1. 本日中に利用の有無と管理者を確認します。 IT資産台帳や契約情報でPaperCut Hive、PaperCut NG/MFを探します。管理を外部に任せている場合は、委託先に製品名と稼働中のバージョンの回答を依頼します。
2. 管理担当者に正確なバージョンを確認してもらいます。 バージョンを確認する管理画面の場所は、発表には書かれていません。ベンダーの手順を参照し、系列と末尾の番号まで記録して、上記の対象範囲と照合します。
3. 対象なら、ベンダーのセキュリティ情報を確認します。 製品名、現在のバージョン、関連するCVE番号を手元にそろえ、適用すべき修正プログラムと更新手順を確認します。自社で判断できない点は、保守窓口に問い合わせます。
4. 対応担当者と実施予定日を決めます。 対象だった場合は、システムの運用責任者や委託先に、該当する版と確認したリスクを伝えます。発表には一律の適用期限は書かれていないため、社内で対応期限を決め、更新後のバージョンまで記録してください。