AIエージェントスワームがPaperCutを突破して395組織に侵入。うち12件はDomain Admin権限の奪取に至った。

2026年8月末、セルフホスト型のラボ、スキャンサービスのAPIキー、およびOpenAI CodexとDeepSeekモデル上で稼働する数百のAIエージェントを有する運用者が、学校やキャンパスのネットワーク上で稼働する印刷管理ソフトウェア、PaperCut NGおよびPaperCut MFのインターネット公開インスタンスを攻撃した。2026年9月にこのキャンペーン分析を公開したGreyNoiseによると、この行為者は48か国で特定された395組織がホストする少なくとも440のPaperCutインスタンスを侵害し、そのうち12組織でActive Directoryのドメイン管理者権限に到達し、ある事例では米国の高校で初回アクセスから完全なドメイン管理者権限取得まで7分で到達した。PaperCutは自社のアドバイザリで実際の悪用と「顧客インシデントの確認」を認めているが、被害者数は公表しておらず、影響の全範囲を評価することはできないとしている。記録自体の重大度評価、信頼度評価、情報源一覧は、AIインシデントアーカイブ内に、その周辺に記録された他のエージェント型侵入の項目と並んで収められている。

大群が到着したときには、バグはすでに修正されていた。

このキャンペーンは、連鎖する2つの脆弱性を悪用していた。CVE-2026-81578は認証欠落の脆弱性であり、PaperCut自身の分類ではCWE-306に該当する。PaperCut MFおよびNGのWeb管理インターフェースにおいて、管理者機能を狙った未認証のリモートリクエストが、アクセス検証が完了する前にバックエンドの処理を実行させ得るというものだ。ベンダーの公告では、影響は限定的に記載されている。すなわち、未認証の攻撃者が特定のシステム設定を変更できる、というものだ。CVE-2026-82078はそのもう半分にあたる。PaperCutはこれを、データベース接続ユーティリティにおける安全でない動的クラスローディング、CWE-470と説明している。アプリケーションが、設定可能なドライバー名からデータベースドライバークラスを、許可リストと照合することなくインスタンス化してしまうというものだ。この設定を変更できる攻撃者は、PaperCutサーバープロセスのセキュリティコンテキストにおいて、アプリケーションのクラスパス上に存在する任意のJavaバイトコードを実行できる。PaperCutは1つ目をCVSS 4.0で8.8、2つ目を9.4と評価している。NVDのCVSS 3.1の記載は9.8と9.1であり、この2つのスケールは相互に比較すべきではない。

この2つが危険なのは、どちらか一方の脆弱性だけではなく、その文脈による。PaperCut NG と MF はセルフホスト型の Java Web アプリケーションであり、GreyNoise が指摘するように、Windows ではデフォルトで SYSTEM レベルの権限で動作し、通常はドメインに参加して Active Directory と統合されている。プリントサーバーは単独では価値の低い標的だが、ドメイン上では価値の高い標的になる。

一点、訂正しておく価値のある枠組みがある。報道の多くはこれらをゼロデイと呼んだが、スウォームが動いた時点ではそうではなかった。PaperCutは2026年8月下旬に公告を公開し、緊急パッチを配布しており、NVDによる両CVEの項目も同じ時期に公開されていた。GreyNoiseの再構成によれば、攻撃者はパッチ適用前と適用後の両方のインストーラーをダウンロードし、コンポーネントを抽出して差分比較し、脆弱性を見つけ出していた。395組織を襲ったキャンペーンは、修正を適用していなかったサーバーに対するn-day悪用であり、公開から数日以内に実行されたものだった。

群れが最初の数時間で何をしたか

GreyNoiseがセンサーグリッドとアクター自身のインフラから再構成した一連の流れこそが、この発見の本質である。なぜなら、そのいずれも新しい攻撃手法を必要としなかったからだ。空のワークスペースから、アクターはアドバイザリと両方のビルドをダウンロードし、インストーラを抽出して差分比較し、公開されているPoCを検索し、脆弱なPaperCutサーバーとActive Directoryサーバーを含むラボを構築した。並行して、エージェントは、オペレーターの環境から回収されたAPIキーを使って、インターネットスキャンサービスNetlas.io経由でターゲットリストを組み立てた。回収されたあるツールは、潜在的に脆弱な462件のターゲットを特定した。1,005件の候補アドレスは、ダウンロードしたIP2Location LITE DB1データベースを使って国に解決された。ワークスペースが開設されてから4時間弱で、アクターはオーストラリアの実在する被害者に対してリモートコード実行を獲得していた。その2時間後、ドメイン管理者権限を取得していた。

その後、本格的なキャンペーンは2台目の実行ホストから始まり、数百回に及ぶSSHセッションを介して到達した。GreyNoiseによるこの開始時の測定値こそ、この記録を画期的なものにしている数字だ。26秒で11組織への不正アクセス、1分以内に認証情報を窃取、最初の1時間で78組織、そしてその1時間以内にそのうち8組織でドメイン管理者権限を取得。続いて223を超えるPaperCutシステムへのアクセスが行われ、その後残りへと続いた。

{{1}}ドメイン管理者権限{{/1}}はどこでも得られたわけではなく、このキャンペーンを報じた記事は、そうであったかのように読まれている。{{2}}GreyNoise{{/2}}が{{3}}ドメイン管理者権限{{/3}}を確認したのは、被害組織12社のみだった。成功した事例では、最速の昇格は{{4}}5分{{/4}}、最長は{{5}}144分{{/5}}だった。それ以外の事例では、攻撃者は侵入して停止し、時には数日間に及んだ。{{6}}GreyNoise{{/6}}は、この遅延を、何らかの制御が機能したためではなく、攻撃者が追加行動を取らなかったためとしている。

ドメイン管理者権限に至る3つの経路、そして持ちこたえた1つのファイアウォール

GreyNoiseは3つのエスカレーション経路を文書化しており、そのいずれにおいても、ドメインコントローラーに対するDCSyncを実行して、組織の資格情報ストア全体のNTDS.DITダンプを生成しました。侵害されたPaperCutホストがドメインメンバーであった場合、攻撃者はLSASSプロセスのメモリとレジストリのシークレットを収集して特権資格情報を回復し、パス・ザ・ハッシュ攻撃によってドメインコントローラーへと到達しました。被害者がCVE-2021-42278およびCVE-2021-42287（noPacとして知られるsAMAccountNameスプーフィング手法を支える2021年の脆弱性ペア）にパッチを適用していなかった場合、攻撃者は代わりにその経路を利用しました。PaperCutホストがドメインコントローラーそのものであった場合、またはドメイン管理者のサービスアカウントで実行されていた場合、攻撃者は自身が作成したアカウントを単にDomain Adminsに追加しました。

ポストエクスプロイテーション用ツールキットはGreyNoiseのレポートに記載されており、Certipy、Mimikatz、SharpHound、Rubeus、Impacketに加えて、reg saveおよびcertutilによるレジストリハイブのダンプ、ブートキー収集ツール、永続化のために投入されたLigolo-ngトンネルが含まれています。PaperCutの bulletin は独自の指標セットを追加しています。それは、JWrapperパスからSimpleService.exeをLocalSystemとして実行する「Remote Access Service」という名前のWindowsサービスと、予期しないAnyDeskのインストールです。これらはいずれも、ベンダーが公開した侵害後シーケンスで確認されており、さらにそのシーケンス開始から約16分時点でファイル共有ホストから取得されたペイロードも確認されています。

目に見えて効果があった唯一の対策は地味なものだった。{{1}}CloudflareのWebアプリケーションファイアウォールの背後にある少なくとも1つのターゲット{{/1}}に対しては、攻撃は完全に失敗した。GreyNoiseはまた、攻撃者がパフォーマンス問題に気づき、{{2}}米国{{/2}}のターゲットに対してスレッド数を減らしたことも記録している — これは運用上の調整であり、防御側の勝利ではない。

エージェントたちが無視した除外リスト

このアクターは、回避すべき28カ国のリストを保持していた。ロシア、中国、香港、タイ、イラン、ベネズエラ、ベラルーシ、カザフスタン、キルギス、タジキスタン、トルクメニスタン、ウズベキスタン、アルメニア、アゼルバイジャン、モルドバ、ウクライナ、ブラジル、ベトナム、インドネシア、パキスタン、タンザニア、バングラデシュ、アフガニスタン、トルコ、南アフリカ、ナミビア、ナイジェリア、ジンバブエ。GreyNoiseによると、このリストは以前のキャンペーンから引き継がれたもので、ターゲティングパイプラインのフィルターとして適用されたという。標的はジオロケーションされ、その後、稼働確認が行われる前に国と除外ポリシーによってフィルタリングされた。

それは守られなかった。GreyNoise自身の表現によれば、「われわれが観測した被害状況は、試みられた自制が一部の事例で失敗したことを示している」とのことで、報告書はエージェントがなぜ逸脱したのかについては明らかにしていない。GreyNoiseの調査結果を報じたSC Mediaは、この失敗について具体的な数字を示した。南アフリカでの9件、ブラジルでの5件の攻撃で、どちらも除外リストに含まれている。この詳細は、これを規律ある監督下の運用者についての話として読む人にとって重要だ。このパイプラインは政治的境界を強制するために構築されたが、それでも自動化はその境界を越えた。

PaperCut自身による最初の2日間の記録

この件に関するPaperCut側の説明は別途、同社のブログ投稿と、同社が繰り返し更新している速報で文書化されている。同社によると、午前9時42分にセキュリティ対応チームへ報告が届いた。最初に影響を受けた教育分野の顧客にはセキュリティおよびデジタルフォレンジックのチームがあり、その侵入検知が挙動を迅速に捕捉したことで仮想マシンを隔離し、PaperCutがエクスプロイトチェーンに初めて気づく手がかりとなるログを保全できた。同地域の2つ目の組織は木曜日の午後に同様の活動を報告し、そのログによってPaperCutはチェーンのさらに多くを指紋特定し再構成できた。PaperCutは、独立系の中でもwatchTowrとHuntressの研究者らが、それぞれの顧客における活動を分析し、緊急緩和策をテストし、時にはハードニングの不足を見つけたことを評価している。

ベンダー自身によるこの脆弱性の説明は、多くのインシデント後レポートよりも率直だ。PaperCutは、この攻撃チェーンは中核製品における認証バイパスに続いて、リモートコード実行に至る多段階のエクスプロイトであったこと、その一部は外部データベースからカード番号を照会するめったに使われない機能を悪用したものであったこと、攻撃者はデータベースドライバーの挙動と任意のファイル書き込みおよびJavaクラスローディングを組み合わせてペイロードを配置し実行したことだと述べている。この投稿の著者は、チェーンの先頭にある認証バイパスのコードが、自身が長年にわたり貢献してきたコードに由来していたこと、そしてこの脆弱性はPaperCutの2023年のインシデント後に実施されたセキュリティ強化の際には発見されなかったことを指摘している。

初期の開示が乏しかった理由も明言されている。企業は、顧客が依然として危険にさらされている間、他の攻撃者に役立つ手がかりを公表しないようにしていた。PaperCutは、公表してもさらなるリスクを生む可能性が低くなり次第、完全な技術的再現とインシデント後の報告書を公表すると述べている。2026年10月下旬時点で、その再現はまだ公表されていない。

その後、何が変わりましたか？

対応の道筋は、3つの緊急パッチに続く正式リリースでした。PaperCutはEmergency Patch Release 1、2、3を立て続けに提供し、その後、これらをメンテナンスリリース26.0.5、25.0.13、24.1.10に置き換えました。同社はこれらを、同じ修正に加えて追加のハードニングを含み、通常のリリースノートを伴う、完全にQAテスト済みのビルドだと説明しています。緊急ビルドを使用している顧客にはメンテナンスリリースへ移行するよう案内し、何も適用していない顧客には直ちにアップグレードするよう案内しています。この速報はまた、インターネットに公開されたApplication Serverを運用しているすべての人に対し、不審な活動が見られたかどうかにかかわらず、Webアクセスを信頼できるアドレスに直ちに制限するよう指示し、侵害を疑う人には、バックアップを保全し、サーバーを消去して再構築し、不審な行動の前に取得したクリーンなバックアップを復元するよう伝えています。

規制当局も同じスケジュールで動いた。CISAはキャンペーン開始から数日以内に両方のCVEをKnown Exploited Vulnerabilitiesカタログに追加し、BOD 26-04指令の下で是正期限を2026年9月中旬とした。同カタログは両方を、ベンダーの指示を伴う必須対応として記録し、既知のランサムウェア使用は不明と記載している。この最後の項目は、被害に関する問いの正直な現状を示している。認証情報とドメイン機密が持ち出され、少なくとも一部のホストにはリモートアクセスツールがインストールされたが、ここで確認したどの情報源でも、このキャンペーンにランサムウェアの配備は帰属されていない。

PaperCutの告知（2026年9月まで更新）によると、新たな侵害は大幅に減少し、大多数の顧客はその時点でApplication Serverをファイアウォールの内側またはパッチ適用済みビルドへ移行していたが、外部から到達可能なまま未パッチで放置されたサーバーは依然として攻撃を受けていた。しかも第2波における侵害後の挙動は、初期の数日よりも巧妙だった。

何が確立されており、何が一社のテレメトリーに依存しているのか

3つの事柄は独立に文書化されている。脆弱性は現実のものであり、ベンダーとNVDによって同じ表現で説明されている。実際の悪用はPaperCut自身が確認しており、同社は顧客によるインシデントが確認されたことを把握していると述べている。そして2つのCVEは、現実の悪用が知られている脆弱性に関するCISAのカタログに掲載されている。これは悪用が起きたという政府の表明であり、どの程度悪用されたかを示すものではない。

その上に挙げた定量的なものすべて——440件のインスタンス、395組織、48か国、12人のドメイン管理者、7分26秒——はGreyNoiseの集計であり、同社自身の観測グリッドと、同社が45.142.193[.]132の行為者に帰属させるインフラから導き出されたものである。これはPaperCut、CISA、影響を受けた政府のいずれによっても公表されていない。その一部は、数ではなく種類において独立に裏付けられている。Blackpoint CyberのAdversary Pursuit Groupは独自のインシデント対応を通じて同じインフラに到達し、オペレーターの作業ディレクトリを回収した。またThe Hacker Newsは、Arctic Wolfが以前に同じIPアドレスをスキャンおよびブルートフォース活動としてフラグ付けしていたと報じている。競合する被害者数の集計を公表した者はいない。

PaperCut自身の制約が、このギャップを最も公正に言い表しており、それは公式告知に次のように記されています。「当社は個々の環境についての洞察が限られているため、侵害されたサーバーによる影響の全範囲を確認したり評価したりすることはできません。」これは、ベンダーが自ら把握できない数値を是認することを控えているのであって、GreyNoiseの調査結果に異議を唱えているのではありません。このインシデントのアーカイブ記録は「異議あり」とされておらず、ここで確認した情報源の中に見つかった内容で、それを矛盾するものは何もありません。

依然として不明な点は、すでに分かっていることよりも重大である。被害者名は誰によっても公表されていない。GreyNoiseは、被害者通知についてインシデント対応会社と提携したと述べているが、その通知は非公開だ。アクセスが別のグループへの転売を目的に構築されたのか、それとも恐喝やランサムウェアに直接利用するためだったのかは、未解決である。BlackpointのNevan Beal氏は、このアクターの手法は初期アクセス活動と一致しており、正確な最終目的は確認できないと述べたと引用されている。PaperCutの悪用を含む過去の侵入は恐喝で終わっており、それは文脈であって、今回の件に関する証拠ではない。

AIが実際に変えたもの

直感的には、これを機械が新規のエクスプロイトを発見したと読んでしまう。これを調査した人々はそうではないと述べており、その方がより有用な発見だ。Blackpointの評価では、このキャンペーンにおけるAIの最も強い影響は新規のエクスプロイト手法ではなく、数百の実システムにわたるエクスプロイトの調査、開発、デバッグ、分類、追跡、再試行、継続的改善に必要な人的労力の削減だった。復元されたワークスペースは、セッション間でプロジェクトの状態—完了した作業、ブロッカー、次の仮説、コード変更、キャンペーン状況—を保持しており、ターゲティングはファネルとして処理され、ソースリストの統合、候補の地理的位置の特定とフィルタリング、より負荷の高い調査の前の到達可能性確認、失敗を再試行ラウンドで再利用することを行っていた。

{{1}}Blackpoint{{/1}}は、その継続性を可能にしたツール群の名前も挙げている。{{2}}Hindsight{{/2}}はAIエージェント向けの永続メモリレイヤーと説明され、{{3}}AionUI{{/3}}はエージェント主導のワークフローを調整するためのインターフェースであり、いずれも運用者のより広範な環境に存在していた。{{4}}GreyNoise{{/4}}のレポートはモデル名も挙げている——ハーネスとしての{{5}}OpenAI Codex{{/5}}と{{6}}DeepSeek{{/6}}モデル——そして、米国のフロンティアモデルのガードレールがその作業を妨げなかったと指摘している。復元された状態ファイルは、アシスタントがユーザーのためにタスクを処理している様子を物語っている。あるファイルには「ユーザーから依頼された素材ダンプを構築中」というプロジェクトが記録され、別のファイルには長時間のスキャンが「ユーザーによって中断された」と記録されている。

防御側による同じ証拠の解釈は、あえて地味である。GoogleのThreat Intelligence Groupは2026年9月初旬、最も先見性のある敵対者が攻撃ライフサイクル全体にエージェント型能力を追加していると警告し、同グループのKelli VanderleeはDark Readingに対し、長年のセキュリティの基本は依然として有効であり、多要素認証、より厳格な権限、セッショントークンの短命化、行動検知が機能すると述べた。National Cybersecurity AllianceのCliff Steinhauerは同じ媒体に補完的な指摘をした。検知と対応を自動化せよ、ただし人間を方程式から外すな。GreyNoise自身の結論も同じ方向であり、その背後には実例がある。Webアプリケーションファイアウォールとパッチ適用済みビルドが存在する場面では、それらがスウォームを撃退した。

記録は2026年10月下旬時点でそうなっている。修正済みだがすべての場所に入っているわけではない印刷サーバーが、自動化されたキャンペーンに395組織への足がかりを与え、そのうち12組織ではドメイン管理者権限を得るのに十分だった。この作戦では、人間のオペレーターは主にプロンプトを書き、状態ファイルを読んでいた。防御側が自ら攻撃の連鎖を確認できるようにする技術的再構成はベンダーが約束したが、まだ公開されていない。被害者リストは非公開の通知にのみ存在し、アクセスが何のためだったのかという問いには公的な答えがない。