인쇄 대기열 뒤의 관리 콘솔: PaperCut CVE-2026-81578 방어 노트

이미지 출처: CISA KEV

사무실 복합기 옆 랙에 조용히 꽂혀 있는 서버 한 대. 자산 대장에는 그냥 "프린터 관리" 다섯 글자로 적혀 있고, 담당 부서는 총무팀으로 되어 있고, 보안팀 점검 리스트에서는 매년 마지막 순번으로 밀리는 그 장비 말입니다. PaperCut NG/MF에서 Missing Authentication for Critical Function 계열 취약점(CVE-2026-81578)이 공개될 때마다 저는 이 장면부터 떠올리게 되는 것 같습니다.

핵심 요약

• CVE-2026-81578은 PaperCut NG/MF의 중요 기능이 인증 검사 없이 호출될 수 있는 문제로, CWE-306(중요 기능에 대한 인증 누락) 계열에 속함
• 프린트 서버는 AD 연동·서비스 계정·전 부서 접근이라는 조건을 동시에 갖고 있어, 권한 한 칸이 뚫리면 피해가 인쇄 영역에서 끝나지 않음
• 패치가 최우선이고, 그 전까지는 관리 포트 노출 차단·Device IP 제한·관리 이벤트 로그 감시로 시간을 벌어야 함

인증이 "없다"는 말의 정확한 의미

인증 우회(bypass)와 인증 누락(missing)은 비슷해 보여도 결이 다름. 우회는 잠긴 문의 자물쇠를 따는 일이고, 누락은 애초에 그 문에 자물쇠가 달리지 않은 상태임.

• 개발 단계에서 "이 엔드포인트는 내부 컴포넌트끼리만 부르니까"라는 전제가 코드에 그대로 남는 경우가 대부분임
• 정상 UI 흐름에서는 로그인한 관리자만 도달하니 QA에서도 잡히지 않음. 화면을 거치지 않고 HTTP 요청을 직접 만들면 전제가 무너짐
• PaperCut처럼 관리 콘솔·장치 연동·릴리스 스테이션 등 여러 인터페이스가 한 프로세스 안에 공존하는 제품일수록 이런 틈이 생기기 쉬움
• 익스플로잇 난이도가 낮다는 점이 핵심임. 특별한 메모리 조작도, 정교한 레이스 컨디션도 필요 없이 요청 한 번으로 성립하는 구조라 공개 직후 스캐닝이 급증함

왜 하필 프린트 서버인가

공격자 입장에서 프린트 관리 서버는 가성비가 아주 좋은 표적임.

• 디렉터리 연동: 사용자 인증·부서 과금을 위해 AD/LDAP에 붙어 있는 경우가 많고, 연동 계정의 권한이 필요 이상으로 넓게 잡혀 있는 사례가 흔함
• 높은 실행 권한: 서비스 계정이 SYSTEM 또는 로컬 관리자 수준으로 돌아가므로, 애플리케이션 레벨 권한 획득이 곧 호스트 장악으로 이어짐
• 전사 연결성: 모든 부서에서 접근하는 서버라 내부 방화벽 정책이 관대함. 측면 이동(lateral movement)의 출발점으로 삼기 좋음
• 낮은 관심도: 패치 주기가 길고, 다운타임 협의가 어렵고, "인쇄 안 되면 민원"이라는 이유로 변경이 미뤄짐

공격 재현은 개념 수준으로만 말하면, 인증 검사가 붙지 않은 관리 기능에 요청을 보내 설정 값을 바꾸거나, 관리 계정을 새로 만들거나, 서버가 제공하는 스크립트·연동 기능을 통해 명령 실행 경로를 여는 흐름임. 여기서 중요한 건 순서가 아니라, "설정 변경이 곧 코드 실행"인 제품 구조 자체가 위험을 키운다는 점이라고 봄.

탐지: 무엇을 봐야 하는가

패치를 적용했더라도 이미 건드려졌는지 확인해야 함. 프린트 서버는 로그가 의외로 풍부한 편임.

• 관리 이벤트 로그: 관리 콘솔의 감사 로그에서 관리자 계정 생성·권한 변경·설정 항목 수정 이력을 시간순으로 확인. 근무 시간 외 변경은 무조건 의심 대상
• 웹 접근 로그: UI 이동 경로 없이 관리 기능 URL이 단독으로 호출된 흔적. Referer가 비어 있고 User-Agent가 스크립트 기본값인 요청 묶음
• 프로세스 계보: PaperCut 서비스 프로세스가 자식으로 cmd, powershell, wscript 등을 띄운 기록. 정상 운영에서는 거의 나오지 않는 조합이라 탐지 규칙으로 쓰기 좋음
• 아웃바운드 트래픽: 인쇄 서버가 외부로 HTTP(S) 세션을 여는 패턴. 프린트 서버는 원래 밖으로 말을 걸 일이 거의 없음
• 파일 시스템: 애플리케이션 디렉터리와 임시 경로에 최근 생성된 스크립트·아카이브 파일

완화: 오늘 안에 할 수 있는 것

• 패치 적용이 1순위. 벤더가 배포한 최신 유지보수 버전으로 올리는 것 외에 근본 해결책은 없음
• 노출 차단. 관리 콘솔 포트가 인터넷에서 열려 있는지 외부에서 직접 확인. 프린트 서버가 공인 IP를 갖고 있어야 할 이유는 거의 없음
• 접근 제어 강화. 제품이 제공하는 장치 IP 허용 목록과 관리 인터페이스 접근 IP 제한을 걸어 두면, 동일한 취약점이 또 나와도 사정권이 좁아짐
• 계정 권한 축소. 디렉터리 연동 계정을 읽기 전용 수준으로 낮추고, 서비스 실행 계정도 최소 권한으로 재검토
• 망 분리. 프린트 VLAN에서 도메인 컨트롤러나 파일 서버로 향하는 트래픽을 명시적으로 제한. 침해가 발생해도 한 칸에서 멈추게 만드는 작업임

정리하며

혹시 사내에서 이런 장비 목록을 정리해 본 경험이 있으시다면, 어떤 기준으로 우선순위를 매기셨는지 댓글로 공유해 주세요. 저도 아직 기준을 다듬는 중이라, 같이 채워 나가 보아요!