CVE · CVE-2026-82078 출력·인쇄 관리 소프트웨어 PaperCut NG/MF의 데이터베이스 연결 유틸리티가, 설정 가능한 드라이버 이름으로 DB 드라이버 클래스를 리플렉션으로 인스턴스화하면서 승인된 allowlist로 검증하지 않습니다. 그 결과 시스템 설정 파라미터를 조작할 수 있는 공격자가 클래스패스에 존재하는 임의 Java 바이트코드를 서버 권한으로 실행할 수 있습니다(안전하지 않은 리플렉션, NVD 확정 CWE-470). NVD 확정 등급은 CVSS 3.1 Base 9.1(CRITICAL, PR:H·S:C)이며, CISA KEV에 등재(등재일 2026-08-31)돼 실제 악용 중이고 공개 익스플로잇 모듈까지 존재합니다.
CVE · CVE-2026-81578 출력·인쇄 관리 소프트웨어 PaperCut NG/MF에서, 관리 기능을 겨냥한 무인증 원격 요청이 접근 검증이 완료되기 전에 백엔드 동작을 트리거해 공격자가 특정 시스템 설정을 변경할 수 있습니다(NVD 확정 분류 CWE-305 Authentication Bypass — 검사가 아예 없는 게 아니라 순서·경로가 우회되는 형태). NVD 확정 등급은 CVSS 4.0 Base 8.8(HIGH)이며, 벤더(PaperCut) CNA 기준 안전 버전은 각 트랙에서 24.1.10 / 25.0.13 / 26.0.5 이상입니다 — NVD CPE가 표기한 24.1.9 / 25.0.12 / 26.0.4는 여전히 취약한 빌드이므로 그 버전에서 멈추면 안 됩니다. 이 CVE와 형제 CVE-2026-82078 둘 다 2026-08-31 CISA KEV에 등재돼 실제 악용 중입니다.