セキュリティ / ニュース

「脆弱性」はプログラムの欠陥だけではありません。10月22日、医療情報システムで「暗号化が初期設定ではオフ」という注意情報が出ました。

掲載 2026.10.26情報確認 2026.10.26出来事・発表 2026.10.22

米国CISAが10月22日に公表した医療分野向けの注意情報（ICSMA-26-295-01）が、10月23日にJVNへ掲載されました。対象はインターシステムズの医療情報基盤ソフト「InterSystems IRIS for Health」です。中身は珍しい種類で、プログラムの書き間違いではなく「通信の暗号化が初期状態では有効になっていない」という設定の問題です。深刻度はCVSS v3.1で8.1、v4.0で9.2と評価されています。この製品名に心当たりがなくても構いません。受け取っていただきたいのは、初期設定のままが安全とは限らない、という一点です。

どこに、いつ出た情報か

米国の政府機関CISAが、医療分野の機器・ソフト向けに出している注意情報の一つです。管理番号はICSMA-26-295-01、公表日は2026年10月22日、改訂は第1版です。国内では、JPCERT/CCとIPAが運営するJVNに10月23日付でまとめて掲載されました。対象はインターシステムズ社の「InterSystems IRIS for Health」で、影響を受ける版として2025.3.0.226、2026.1.0.235、2026.2.0.221の3つが挙がっています。脆弱性の識別番号はCVE-2026-111594です。なお、この脆弱性を狙った攻撃が実際に行われているという報告は、現時点でCISAには寄せられていない、と注意情報に明記されています。

書き間違いではなく、初期設定の問題

分類はCWE-319「重要な情報の平文での送信」です。注意情報の説明は単純で、TLS/SSLによる暗号化が初期状態では無効になっているため、管理者が有効にしない限り、やりとりされるデータが暗号化されないまま流れる、というものです。想定される影響は、通信を見られる立場にいる相手にデータの中身が見え、それを使ってログインされるおそれがある、と書かれています。壊されるのではなく、覗かれるタイプです。メーカー側の対策として案内されているのは、接続を受け付ける部分の設定を「必須」にすることです。この設定には無効・有効・必須の3段階があり、『有効』は暗号化を任意にする設定なので、それだけでは塞ぎきれない、と但し書きが付いています。設定が3段階あると、途中の段階で止まっていても画面上は問題なく見える、という点が厄介です。

自院に関係があるかは、分からなくて構いません

この製品は、病院の中で複数のシステムをつなぎ、データをやりとりさせるための基盤ソフトです。受付のパソコンに入っているような種類のものではありませんし、クリニックや薬局で製品名を意識する場面はまずありません。ですので「うちは関係あるのか」と調べ始める必要はありません。今回お伝えしたいのは製品の話ではなく、脆弱性として公表されるものの中には、プログラムの不具合ではなく『安全な設定が初期値になっていない』という種類がある、という事実のほうです。10月20日の記事では画像サーバーのソフトの不具合を取り上げましたが、今回は毛色が違います。更新プログラムを当てれば済む話ではなく、設定を見に行かないと分からないからです。

次の保守の打ち合わせで、一言だけ

院内でできることは、設定画面を開くことではありません。自分で通信の設定を変えると、つながっていた他の機器が通信できなくなることがあります。おすすめするのは、保守事業者との次の打ち合わせで「院内でやりとりしている患者さんのデータは、暗号化された状態で流れていますか」と一度聞いておくことです。答えが出てこなくても、質問が記録に残ること自体に意味があります。あわせて、今回の注意情報でCISAが挙げている一般的な助言も、考え方としては同じ方向を向いています。業務用の機器を不必要にインターネット側へ出さない、事務のネットワークと機器のネットワークを分けておく、外から接続するときはVPNを通す、の3点です。いずれも今日すぐ着手する話ではなく、入れ替えや更新のタイミングで相談する内容です。どこから聞けばよいか迷う、そもそも院内の構成図が手元にない、という段階でしたら、アイジェイネットでも整理のお手伝いをしています。

出典・確認元

情報は確認日時点の内容です。最新の対象製品・手順・条件はリンク先でご確認ください。

編集方針・訂正について

環境によって必要な対応は異なります。
自分の環境について相談する ↗

← 一覧に戻る