PaperCut MF 및 NG 동적 클래스 로딩 취약점 기반 원격 코드 실행(RCE) 분석 및 대응 가이드 (CVE-2026-82078)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTPaperCut MF 및 PaperCut NG 인쇄 관리 솔루션
시스템 구성 매개변수를 조작할 수 있는 공격자가 승인되지 않은 임의의 Java 바이트코드를 실행하여 서버 권한을 완전히 장악할 수 있습니다
제조사 공식 보안 패치를 즉시 적용하고, 데이터베이스 연결 설정에 대한 접근 제어를 강화하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND1. 공식 보안 패치 적용
제조사의 공식 보안 권고문을 참조하여 최신 안전 버전으로 업그레이드하십시오.
2. 임시 완화 조치
패치 적용이 즉시 어려운 경우 아래 조치를 수행하십시오:
- 관리자 페이지 접근 제한: PaperCut 관리자 웹 인터페이스(기본 포트
9191,9192)에 대한 외부 인터넷 노출을 차단하고, 신뢰할 수 있는 내부 IP 대역(VPN 등)에서만 접근할 수 있도록 방화벽 규칙을 설정하십시오. - 데이터베이스 구성 파일 보호:
server.properties등 데이터베이스 연결 설정이 포함된 구성 파일의 쓰기 권한을 제한하여 임의 변경을 방지하십시오.
코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
본 취약점(CVE-2026-82078)은 PaperCut MF 및 NG의 데이터베이스 연결 유틸리티에서 발생하는 안전하지 않은 동적 클래스 로딩(CWE-470) 취약점입니다.
애플리케이션이 데이터베이스 드라이버 클래스를 인스턴스화할 때, 허용 목록(Allowlist) 검증 없이 구성 가능한 드라이버 이름을 그대로 사용합니다. 공격자가 시스템 구성 매개변수를 조작할 수 있는 권한을 획득할 경우, 애플리케이션 클래스패스(Classpath) 내에 존재하는 임의의 Java 바이트코드를 로드하고 실행할 수 있습니다.
이 취약점은 CVSS 9.1의 심각한 위험도를 가지며, CISA KEV(악용된 취약점 카탈로그)에 등재되어 실제 공격에 악용되고 있음이 확인되었습니다.
공식 보안 권고문 및 참조 링크
An unsafe dynamic class loading vulnerability exists in the database connection utilities of PaperCut MF and PaperCut NG. The application instantiates database driver classes based on configurable driver names without validating against an allowlist of approved drivers. If an attacker can manipulate system configuration parameters, this enables the execution of arbitrary Java bytecode residing on the application classpath under the security context of the PaperCut server process.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.