PaperCut NG·MF 취약점 실제 악용, 두 번째 긴급 패치 적용 필요

오늘의 핵심

PaperCut NG·MF의 인증 우회와 원격 코드 실행 취약점이 실제 공격에 악용되고 있다. 첫 긴급 패치도 우회 가능성이 확인돼 두 번째 패치가 배포된 만큼, 국내 운영자는 외부 노출 여부와 패치 수준, 침해 흔적을 즉시 점검해야 한다.

확인된 사실

• PaperCut NG와 MF의 신규 취약점 두 건이 실제 공격에서 악용되고 있다. 근거 [1] [2]
• CVE-2026-81578은 인증되지 않은 공격자가 특정 시스템 설정을 변경할 수 있는 접근통제 취약점이다. 근거 [1] [2]
• CVE-2026-82078은 안전하지 않은 동적 클래스 로딩과 관련되며, 두 취약점을 연계하면 인증 전 원격 코드 실행으로 이어질 수 있다. 근거 [1] [2]
• 첫 긴급 패치의 우회 가능성이 확인돼 PaperCut은 Emergency Patch Release 2를 배포했으며, 첫 패치를 적용한 조직도 두 번째 패치를 설치해야 한다. 근거 [1] [2]

왜 중요한가

• 출력 관리 서버는 계정·문서·내부 네트워크와 연결되는 경우가 많아 침해 시 단일 서버 문제를 넘어 업무 시스템 접근과 정보 유출 위험으로 번질 수 있다.
• 이미 첫 긴급 패치를 적용한 조직도 안전하다고 단정할 수 없어 패치 완료 여부가 아니라 정확한 패치 릴리스까지 다시 확인해야 한다.
• 인터넷에 노출된 관리 인터페이스는 인증 없이 공격받을 수 있으므로 일반적인 계정 보안 강화만으로는 위험을 충분히 줄이기 어렵다.

inxight의 관점

• 이번 사례는 ‘패치 적용 여부’만 기록하는 자산 관리의 한계를 보여준다. 제품명·버전뿐 아니라 긴급 패치의 릴리스 번호와 적용 시각까지 추적해야 한다.
• 프린트 서버처럼 웹서비스의 핵심 구성요소로 분류되지 않는 시스템도 고객정보와 사내 문서를 다룬다. 웹·앱 운영 조직의 외부 노출 자산 목록에 주변 업무 시스템을 포함할 필요가 있다.
• 긴급 패치 뒤에는 정상 동작 확인과 함께 과거 로그 점검을 병행해야 한다. 패치는 추가 공격을 막지만 이미 발생한 침해를 제거하지는 않는다.

실무 체크리스트

• PaperCut NG·MF 운영 여부와 Application Server 관리 화면의 인터넷 노출 상태를 즉시 확인하고, 외부 접근이 필요 없다면 신뢰된 사내망이나 관리망으로 제한한다.
• 첫 긴급 패치만 적용했다면 PaperCut의 최신 보안 공지를 기준으로 해당 버전에 맞는 Emergency Patch Release 2 이상을 설치하고 실제 빌드 정보를 자산대장에 기록한다.
• 패치 전후 서버 로그와 엔드포인트 탐지 기록을 검토해 비정상적인 설정 변경, 예기치 않은 프로세스 실행, 로그 삭제 흔적이 있는지 조사한다.
• 침해 징후가 발견되면 서버를 격리하고 연동 계정·서비스 자격증명을 교체한 뒤 문서 및 개인정보 접근 범위를 확인한다.