画像を保存しているサーバーにも、脆弱性の情報は出ます。10月16日、医療機器向けの注意情報がJVNに載りました。
JPCERT/CCとIPAが運営する脆弱性情報サイトJVNに、10月16日、米国CISAが10月15日に公表した制御システム向けの注意情報がまとめて掲載されました。全部で6件、うち2件が医療機器向け（ICS Medical Advisory）です。2件のうち1件は、レントゲンやCTの画像をDICOMという規格で保存しておくサーバー用のソフトで、深刻度が最大9.1（10点満点）と評価された不具合を含みます。受付のパソコンの更新とは違い、これは院内に入っているベンダーの機器の話です。院長先生や事務長が自分で何かを操作する必要はありません。やることは、自院の画像サーバーが何でできているかを一度ベンダーに聞いておくことです。
どこに、いつ出た情報か
出どころはJVN（Japan Vulnerability Notes）です。JPCERT/CCとIPAが共同で運営している、脆弱性情報の公式な掲載先です。10月16日付で「CISA ICS Advisory / ICS Medical Advisory（2026年10月15日）」という項目が公開されました。米国の政府機関CISAが10月15日に出した注意情報を、日本語の窓口でまとめて知らせる形のページです。今回の対象は新規5件と更新1件の計6件。このうち医療機器向けに分類されているものが2件あります。JVNのページ自体には個別の中身は書かれておらず、CISAの各ページを見てください、という作りになっています。実際に開いて確認した内容を、以下に分けて書きます。
1件目は、画像を保存するサーバーのソフト
ICSMA-26-288-02として出ているのが、J4Care社のdcm4chee-arc-lightというソフトの5.35.1版です。CISAの説明では、医用画像をDICOM形式で保管するアーカイブで、患者の記録やHL7というやり取りも扱うもの、とされています。レントゲンやCTの画像を院内にためておく、いわゆる画像サーバーの一種と考えてください。指摘されているのは6件で、重いものから挙げると、初期設定のままだと登録していない相手からの接続を受け付けてしまい、画像の検索・取り出し・書き込みが通ってしまうもの（CVSS v3.1で9.1、v4.0で9.3）、保存状態を書き換えられて保管していた画像が削除されるもの（同9.1と8.8）、患者情報を統合するHL7のメッセージを送り主を確かめずに受け付けてしまうもの（同7.5と8.7）などです。CISAは「現時点で、これらを狙った悪用の報告は受けていない」と書いています。対策は開発元が出した5.35.2以降への更新です。
2件目は、検査装置側のソフト
もう1件のICSMA-26-288-01は、サーモフィッシャーサイエンティフィック社のTorrent Suite Softwareの5.18以前が対象です。CVE-2026-107777という番号が付いており、内容は、本来見えてはいけない場所のファイルまで読み出せてしまうというもの（パストラバーサル）。評価はCVSS v3.1で6.5、v4.0で7.1です。ログインできる利用者であることが前提で、影響は「読まれる」ことに限られ、書き換えや停止は起きないとされています。こちらも公開された悪用の報告はない、とCISAは記載しています。対策は5.22以降への更新です。なお、どちらの製品も国内のすべてのクリニックに入っているようなものではありません。自院に関係があるかどうかは、製品名だけで判断せず、ベンダーに確認するのが確実です。
院内で今やること、やらないこと
やることは2つです。1つ目、自院に画像サーバーやPACSと呼ばれる仕組みがあるなら、保守をお願いしているベンダーに「製品名とバージョンは何か」「10月15日のCISAの医療機器向け注意情報（ICSMA-26-288-01、02）に該当するか」を聞いてください。該当しなければそれで終わりです。2つ目、該当した場合も、更新の作業はベンダーの範囲です。いつ、どう対応するかを聞いて、院内の予定に入れてください。やらないほうがよいことも2つ。自分でソフトを更新したり、設定画面を触ったりしないでください。画像サーバーは電子カルテや検査装置とつながっていて、片側だけ変えると動かなくなることがあります。それから、院内ネットワークの設定を一律に変えるのもやめてください。CISAの助言は「こうした機器をインターネットに直接つながない」「ファイアウォールの内側に置き、事務用のネットワークと分ける」「遠隔保守はVPN経由にし、VPNも最新にする。ただしVPNの安全性は、つなぐ端末の安全性までしか保証しない」という一般的なものです。どれも自院の構成を踏まえて判断することで、紙の上の一般論をそのまま当てはめるものではありません。機器の棚卸しや、ベンダーへの確認事項の整理については、アイジェイネットでもご相談を承っています。
出典・確認元
- JVN：JVNVU#96928590 CISA ICS Advisory / ICS Medical Advisory（2026年10月15日）。2026年10月16日公開。新規5件・更新1件、うち医療機器向け2件 ↗
- CISA：ICSMA-26-288-02 J4Care dcm4che（2026年10月15日公表。dcm4chee-arc-light 5.35.1が対象、6件のCVE、最大CVSS v3.1 9.1／v4.0 9.3、5.35.2以降へ更新） ↗
- CISA：ICSMA-26-288-01 Thermo Fisher Torrent Suite Software（2026年10月15日公表。5.18以前が対象、CVE-2026-107777、CVSS v3.1 6.5／v4.0 7.1、5.22以降へ更新） ↗
情報は確認日時点の内容です。最新の対象製品・手順・条件はリンク先でご確認ください。
編集方針・訂正について自分の環境について相談する ↗