[단독분석] 분석 — CVE-2026-82078

• 심각도 critical · CVSS 9.1 · EPSS 0.01691 · 악용난이도 easy · KEV

• 공격자는 PaperCut 서버의 데이터베이스 연결 설정 파일(예: papercut.properties)에 임의의 JDBC 드라이버 클래스명을 삽입합니다.
• 애플리케이션은 허용 목록 검증 없이 Class.forName()을 통해 해당 클래스를 로드하므로, 클래스패스에 존재하는 악성 Java 바이트코드가 서버 프로세스 권한으로 실행됩니다.
• 네트워크를 통한 원격 접근이 가능하며(AV:N), 공격 난이도는 낮고(PR:H) 인증된 내부 사용자를 이용해 수행될 수 있습니다.

• 기술적 위험

  • 임의 코드 실행 → 서버 전체 권한 탈취, 추가 악성 페이로드 설치·확산 가능.
  • 데이터베이스 접근 권한을 이용한 민감 정보(인쇄 기록, 사용자 인증 정보 등) 유출.
  • 서비스 중단 및 프린트 관리 시스템 전반의 가용성 저하.

• 비즈니스 영향

  • 인쇄·문서 관리 업무에 차질이 발생해 운영 효율성이 크게 감소합니다.
  • 고객·직원 데이터가 노출될 경우 개인정보보호법 등 규제 위반 위험이 존재합니다.
  • 프린트 서비스 신뢰도 하락으로 기업 이미지 손상 가능성이 있습니다.

• 영향 제품 및 규모

  • papercut_mf < 24.1.9, 25.0.2‑12, 26.0.2‑4
  • papercut_ng < 24.1.9, 25.0.2‑12, 26.0.2‑4

  다중 소스에서 일관성이 확인됐으며(교차검증), 해당 제품군이 광범위하게 배포된 점을 고려하면 공급망 차원의 위험도 확대될 수 있습니다.

• 동일한 동적 클래스 로딩 메커니즘을 활용하는 다른 Java 기반 관리 솔루션에서도 유사한 RCE가 보고된 바 있어, 공격자는 구성 파일 변조 → 임의 코드 실행 체인을 재활용할 가능성이 있습니다.

• 로그 패턴: Class.forName( 로 호출되는 로그에 허용 목록에 없는 드라이버명(예: com.malicious.Driver)이 나타나는 경우.
• 파일 무결성: papercut.properties·유사 설정 파일의 비정상적인 변경 감시 (해시값 변동, 수정 시간 급변).
• 프로세스/클래스 로드: Java 프로세스에서 예상치 못한 JAR/CLASS가 로드된 경우(예: /opt/papercut/lib/*.jar에 신규 파일 추가).

1. 즉시 조치

   • 모든 PaperCut MF/NG 인스턴스를 최신 패치 버전으로 업그레이드합니다(취약 범위 외 버전 권고).
   • 설정 파일(papercut.properties)에 대한 쓰기 권한을 최소화하고, 변경 시 운영팀 승인 절차를 도입합니다.
   • 허용된 JDBC 드라이버 리스트를 명시적으로 정의하고, 애플리케이션 레벨에서 검증 로직을 추가합니다.

2. 근본 해결

   • 공급업체가 제공하는 공식 패치를 적용하거나, 취약 버전 사용 중단 후 최신 릴리즈(예: 27.x 이상)로 마이그레이션합니다.
   • 네트워크 경계에서 PaperCut 서버에 대한 불필요한 외부 접근을 차단하고, 내부 인증된 사용자만 설정 변경이 가능하도록 방화벽·WAF 정책을 강화합니다.

위 조치를 24시간 이내에 수행하면 KEV 등재와 EPSS 0.01691(악용 가능성) 및 CVSS 9.1(심각도)을 고려한 즉시 대응 우선순위에 부합하게 위험을 크게 감소시킬 수 있습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.1 · KEV · EPSS=0.01691 · exploit=easy · in_scope=None