CVE-2026-81578 (PaperCut NG/MF 무인증 접근제어 우회) 분석

출력·인쇄 관리 소프트웨어 PaperCut NG/MF에서, 관리 기능을 겨냥한 무인증 원격 요청이 접근 검증이 완료되기 전에 백엔드 동작을 트리거해 공격자가 특정 시스템 설정을 변경할 수 있습니다(NVD 확정 분류 CWE-305 Authentication Bypass — 검사가 아예 없는 게 아니라 순서·경로가 우회되는 형태). NVD 확정 등급은 CVSS 4.0 Base 8.8(HIGH)이며, 벤더(PaperCut) CNA 기준 안전 버전은 각 트랙에서 24.1.10 / 25.0.13 / 26.0.5 이상입니다 — NVD CPE가 표기한 24.1.9 / 25.0.12 / 26.0.4는 여전히 취약한 빌드이므로 그 버전에서 멈추면 안 됩니다. 이 CVE와 형제 CVE-2026-82078 둘 다 2026-08-31 CISA KEV에 등재돼 실제 악용 중입니다.