セキュリティ / 注意喚起

院内のパソコンに、業者が入れた「管理用ソフト」が入っていませんか。11月9日、その種類のソフトのひとつに弱点が公表されました。

掲載 2026.11.10情報確認 2026.11.10出来事・発表 2026.11.09

2026年11月9日、脆弱性情報のサイトJVNに「SS1／SS1クラウドおよびそのODM製品rocoeyesにおける複数の脆弱性」（JVN#76179675）が公表されました。SS1は、組織のパソコンをまとめて管理するためのソフト（IT資産管理ソフト）で、パソコン1台ずつに「エージェント」と呼ばれる常駐ソフトを入れて使います。受付や診察室のパソコンに入っていても、画面に出てこないため院内の人が気づいていないことがあるのがこの種類のソフトです。自院が使っているかどうかを確かめるところから始められます。

公表された内容

公開日は2026年11月9日です。影響を受けるとされているのは、SS1のエージェントバージョン17.0.0.50およびそれ以前（メディアバージョン17.0.0eおよびそれ以前）、SS1クラウドのエージェントバージョン3.2.0およびそれ以前、rocoeyesのエージェントバージョン3.1.1およびそれ以前です。想定される影響として挙げられているのは2つで、「当該製品が使用する機微な情報が取得される」（CVE-2026-109582）と「任意のファイルを削除される」（CVE-2026-113437）です。対策は最新版へのアップデートで、修正版のバージョンも示されています。現時点で、この弱点が悪用されたという発表は確認していません。

「エージェント」は、見えないところで動いています

IT資産管理ソフトは、どのパソコンにどのソフトが入っているか、更新が当たっているかを管理側でまとめて把握するための仕組みです。そのためにパソコン1台ずつに入れる常駐ソフトがエージェントです。導入業者がパソコンの納品時にまとめて入れることが多く、デスクトップにアイコンが出るとは限りません。院長や事務長が「うちはそんなソフトは入れていない」と思っていても、実際には入っている、ということが起こりうるのはこのためです。ウイルス対策ソフトと同じで、常駐するソフトは更新の対象になります。

聞くことは3つです

保守や導入をお願いしている業者に、次の3点を確認してください。1つ目は、院内のパソコンにSS1、SS1クラウド、rocoeyesのいずれかが入っているかどうか。2つ目は、入っている場合、エージェントのバージョンが上に挙げた影響を受ける範囲に当たるかどうか。3つ目は、更新を誰がいつ行うか、保守契約に含まれているかどうかです。この種類のソフトは管理サーバー側からまとめて更新する作りのものが多いため、受付のパソコンを1台ずつ触る必要がないこともありますが、作りは製品と契約によって違います。順番と段取りは業者に確認してください。

自分で消さないでください

確認の過程で見慣れないソフトが見つかっても、院内の判断でアンインストールしたり、パソコンを初期化したりしないでください。管理用のソフトは、ソフトの配布や設定の管理に使われていることがあり、何に使われているかは契約によって違います。消す前に必ず業者に確認するのが安全です。なお、厚生労働省の「医療情報システムの安全管理に関するガイドライン」は令和8年6月に第7.0版が公表され、委託先向けの「保守委託機関編」も用意されています。更新を誰が行うのかを書面で確かめておくと、今回のような情報が出たときに迷わずに済みます。院内のパソコンに何が入っているか分からない、という段階からでも、アイジェイネットでご相談を承っています。

出典・確認元

情報は確認日時点の内容です。最新の対象製品・手順・条件はリンク先でご確認ください。

編集方針・訂正について

環境によって必要な対応は異なります。
自分の環境について相談する ↗

← 一覧に戻る