ニュース約11分で読めます

CISA、産業・医療の脆弱性情報6件防犯カメラは修正なし、医療画像は設定も確認

米国CISAが2026年10月15日に公表した産業・医療機器の脆弱性情報6件を、各社の資料で確かめました。医療画像を保管するdcm4cheは更新に加えて設定の見直しが要り、防犯カメラのアプリEseeCloudは修正版がありません。病院・工場・研究機関で、誰が何を確かめるかを整理します。

公開 2026年10月17日 08:04情シスのミカタ編集部AIにより執筆チェック済み

文字

この記事のまとめ

米国CISAは2026年10月15日、産業・医療機器の脆弱性情報を新たに5件、更新を1件公表しました。KEVへの掲載はありません。
医療画像を保管するdcm4cheは5.35.2へ更新し、受け付ける相手を一覧で絞る設定も要ります。2件は設定で防ぐ問題です。
防犯カメラのアプリEseeCloudは、メーカーがCISAに応じず修正版がありません。買い替えも含めて検討します。

こんな方に#30代 #40代 #50代 #60代実務

テーマ#CISA #脆弱性 #OT #医療 #委託先管理

目次ひらく

110月15日の6件と、先に確かめるもの
2医療画像のdcm4che: 5.35.2と設定の見直しの両方が要る
3研究・検査のTorrent Suite: 5.18には2025年の問題も残る
4工場の通信: Miloは1.1.5へ、N-Tron 700は3.11.1へ
5防犯カメラのEseeCloudは修正なし、Malcolmはv26.09.0へ
6CVSSの点数は資料で違うことがある
7影響する会社・しない会社
8情シスが今日やること
9保守会社・販売店への聞き方
10確かめられなかったこと

米国のサイバー防衛の機関CISAは2026年10月15日、産業・医療機器の脆弱性情報を新たに5件、更新を1件公表しました。JPCERT/CCとIPAも、16日にJVN(JVNVU#96928590)で知らせています。病院の画像の保管から事務所の防犯カメラまで対象が幅広いため、各社の資料で確かめた中身と、誰が何を確かめるかを整理します。

10月15日の6件と、先に確かめるもの

6件は次のとおりです。深刻度は、脆弱性の重さを10点満点で表すCVSSの、製品ごとの最大の値です。

製品(勧告の番号)	どんな製品か	CVE	最大の深刻度(v3.1 / v4.0)	直った版
J4Care dcm4che(ICSMA-26-288-02)	医療画像を保管するソフト	6件	9.1 / 9.3	5.35.2と設定の見直し
Red Lion N-Tron 700シリーズ(ICSA-26-281-01、更新A)	工場などで使う産業用のスイッチ	7件	8.3 / 9.3	ファームウェア3.11.1以降
EseeCloud(ICSA-26-288-02)	防犯カメラのアプリとファームウェア	3件	9.8 / 9.3	なし
Eclipse Milo(ICSA-26-288-01)	工場の通信の決まりOPC UAの部品	6件	8.2 / 9.1	1.1.5以降
Thermo Fisher Torrent Suite(ICSMA-26-288-01)	遺伝子の配列を読む装置の解析ソフト	1件	6.5 / 7.1	5.22以降
CISA Malcolm(ICSA-26-280-01)	ネットワークの通信を記録して調べる道具	7件	8.1 / 示されていない	v26.09.0以降

v4.0の値は、MiloはEclipse Foundation、ほかはCISAの採点です。v3.1は、どれもCISAの勧告に載る値です。

先に確かめたいのは、dcm4che、N-Tron 700、EseeCloudの3つです(編集部の目安)。どれも認証なしで狙える問題を含み、既定の設定や埋め込まれた資格情報のように、使う側が気づきにくい弱点です。

医療画像のdcm4che: 5.35.2と設定の見直しの両方が要る

dcm4cheは、医療画像の規格DICOMを扱うオープンソースのソフトで、CISAは提供元をオーストリアのJ4Careとしています。対象のdcm4chee-arc-lightは、CTやMRIなどの検査の画像をためておく保管庫です。

CISAによると、悪用されると、画像の削除や患者の情報の漏えいにつながる恐れがあります。偽の検査の登録、患者の記録の付け替え、サービスの停止も挙げています。

CISAの勧告ICSMA-26-288-02のページ。題はJ4Care dcm4che、公開日は2026年10月15日。悪用されると保管した医療画像の削除や患者の情報の漏えいなどの恐れがあるとし、対象はdcm4chee-arc-light 5.35.1(CVE 6件)、CVSS v3で9.1、脆弱性は4種類と書かれている — CISAの医療の勧告。dcm4cheの画像保管ソフト5.35.1に6件出典: 米国CISA(引用)

CVE	中身	v3.1 / v4.0	直し方
CVE-2026-97851	保管場所の状態を書き換えられ、保管した画像が消される	9.1 / 8.8	5.35.2
CVE-2026-105279	既定の設定で、登録していない相手からのDICOMの接続を受け付ける	9.1 / 9.3	設定で防ぐ
CVE-2026-105667	既定の設定で、送信元を確かめずにHL7の患者の統合の指示を受け付ける	7.5 / 8.7	設定で防ぐ
CVE-2026-107621・105273・101021	細工したデータの処理で止まる・重くなる	7.5 / 8.7〜9.3	5.35.2

HL7は、電子カルテなどの病院のシステムの間で、患者の情報をやり取りする決まりです。AEタイトルは、DICOMで通信する機器ごとの名前です。

CISAは、6件とも「5.35.2以降に」としています。一方、dcm4cheのGitHubの勧告では、CVE-2026-105279と105667の対象の版は「すべて」で、修正版の欄は空です。どちらも「設定で防げる」と書かれています。

CVE-2026-105279: 受け付けるDICOMの相手を一覧で決める設定(dcmAcceptedCallingAETitle)で防げます。一覧が無いと、どの相手も受け付けます。接続してきた相手のホスト名かIPアドレスを確かめる設定(dcmValidateCallingAEHostname)もあります。
CVE-2026-105667: 受け付けるHL7の送信元を一覧で決める設定(hl7AcceptedSendingApplication)で防げます。5.35.2からは、送信元のホスト名かIPアドレスを確かめる設定(hl7ValidateSendingApplicationHostname)も使えます。

CISAが対象として挙げる版は5.35.1だけです。GitHubの勧告では、5.35.2で直る4件は、5.35.2より前の版がすべて対象です。うち3件はdcm4cheの部品(ライブラリ)の側の問題で、部品も同じ日に5.35.2が出ています。

8月には、5.35.0と5.35.1で直した遠隔からのコードの実行などの重大な問題も、GitHubで公表されています。古い版のままなら、まとめて上げる理由が増えます。

研究・検査のTorrent Suite: 5.18には2025年の問題も残る

Torrent Suiteは、Thermo Fisher Scientificの解析ソフトです。次世代シーケンサー(遺伝子の配列を読む装置)のIon GeneStudio S5シリーズで使います。今回のCVE-2026-107777は、ログインできる利用者が、サーバーの中のファイルを読めてしまう問題です。

深刻度はv3.1で6.5、v4.0で7.1です。5.18以前が対象で、5.22以降で直ります。

Thermo Fisherの告知(10月12日更新)を見ると、5.18には2025年に公表された問題も残っています。同社の点数で10.0の、初期の認証情報の弱さ(CVE-2025-54303)などで、これらも5.22で直ります。

Thermo Fisherの告知の表。脆弱性の一覧に、2025年のCVE-2025-53963・54303(CVSS 10.0)などと、今回のCVE-2026-107777(6.5、ファイルの読み取り)が並ぶ。影響を受ける製品の表には、Ion GeneStudio S5シリーズで使うTorrent Suite 5.18が、CVE-2025-54303などと今回のCVEの対象だと書かれている — Thermo Fisherの告知。5.18は2025年公表の10.0の問題も対象出典: Thermo Fisher Scientific(引用)

すぐに更新できない場合、Thermo Fisherは、初期のパスワードのままでないかの確認と、ネットワークの設定の見直しを勧めています。ファイアウォールなしでインターネットにつながないことも求めています。

工場の通信: Miloは1.1.5へ、N-Tron 700は3.11.1へ

Eclipse Miloは0.6系だと移行が要る

Eclipse Miloは、工場の機器がデータをやり取りする決まりOPC UAを、Javaで作ったオープンソースの部品です。単体で売る製品ではなく、OPC UAのサーバーやクライアントを作る会社が組み込んで使います。

6件のうちCVE-2026-58080(v3.1で8.2)は、役割ごとの権限で守るサーバーの一部で起きる問題です。匿名の接続から、守るはずの操作や削除ができてしまいます。

CVE-2026-60007(v4.0で9.1)は、古い暗号の方式Basic128Rsa15を使う接続の問題です。通信を盗み見た攻撃者に、利用者のパスワードを割り出される恐れがあります。

直った版の1.1.5は、7月16日に公開済みです。0.6系の修正版は無く、1.1.5以降に移る必要があります。大きな版の切り替えになるため、開発会社に作業の量と時期を聞きます。

N-Tron 700の更新Aは点数の見直し

Red LionのN-Tron 700シリーズは、工場などで使う産業用のスイッチです。10月8日の勧告が、15日に更新されました(更新A)。最初の公表は、CISA、産業・医療機器の脆弱性情報を公表新規3件・更新3件で取り上げています。

更新Aの中身は、CVSS v4.0の値の見直しと、切れていたリンクの修正です。ほかの機器への影響の評価を外したため、多くの値が下がりました(例: CVE-2026-39460は9.3から8.6)。直し方は変わっていません。

対象はファームウェア3.11.0以前と、ブートローダー2.0.6.1以前です。工場出荷時の管理者の資格情報が、ほかの管理者を作った後も残る問題(CVE-2026-32645)も含まれます。

Red Lionは、3.11.1以降への更新を勧めています。あわせて、SNMP(機器を遠隔で管理する通信)の設定の見直しか停止と、ウェブの管理画面の無効化も勧めています。

防犯カメラのEseeCloudは修正なし、Malcolmはv26.09.0へ

EseeCloudはメーカーが応じていない

EseeCloudは、中国のGuangzhou Juan IoT Technologyの、防犯カメラのスマートフォンのアプリと、カメラのファームウェアです。公式サイトでは「IP Pro」「VR Cam」とも書かれ、通販サイトで売られるカメラが紹介されています。

対象はアプリ4.9.6以前と、ファームウェア4.9.86.0以前です。カメラに埋め込まれた資格情報でログインできる問題(CVE-2026-107617)は、v3.1で9.8です。CISAは、カメラを乗っ取られる恐れがあるとしています。

メーカーはCISAの調整に応じておらず、修正版はありません。CISAは、メーカーへの問い合わせを勧めています。報告したのは、東京理科大学とGMO Flatt SecurityのDonghyeon Lee氏です。

業務で使うなら、インターネットからカメラに直接つながる設定をしない、業務のパソコンと別のネットワークに置く、の2つをまず確かめます。修正の見込みが分からないため、更新が続く製品への買い替えも検討します。ネットにつながる機器の管理の考え方は、会議室のスマートTVも守るネット機器としてのIoT管理をにまとめています。

MalcolmはCISA自身の道具

Malcolmは、CISAが無料で公開している、ネットワークの通信を記録して調べる道具です。CISAは、エネルギーや水道などの分野で使われるとしています。7件のうち5件はv26.08.0(8月25日公開)、2件はv26.09.0(9月30日公開)で直っています。

CISAの改訂の記録では、最初の公開は10月7日で、15日の改訂でウェブ版への参照が加わりました。

CVSSの点数は資料で違うことがある

CVSSの値は、資料によって違うものがあります。Red Lionの7件は、米国の脆弱性のデータベースNVDでは、10月17日時点で更新Aの前の値のままで、6件は勧告より高く出ます。dcm4cheのCVE-2026-107621・105273と、EseeCloudのCVE-2026-105664も、CISAの勧告とCVEの記録でv4.0の値が違います。

脆弱性の管理のツールの点数だけで、後回しにしないでください。判断の基準は、使っている版が対象に当たるかどうかです。

影響する会社・しない会社

影響する: dcm4chee-arc-lightで医療画像を保管している病院・クリニック・画像診断の施設。販売店から入れた画像の保管のしくみ(PACS)も、中でdcm4cheを使っていないかを確かめる対象です。
影響する: Ion GeneStudio S5シリーズで、Torrent Suite 5.18以前を使う大学・研究機関や、病院・検査会社の遺伝子検査の部門。
影響する: N-Tron 700シリーズ(ファームウェア3.11.0以前)を使う工場や設備。設備の会社が入れたスイッチも含みます。
影響する: Eclipse Milo 0.6.0〜1.1.4を組み込んだOPC UAの製品を作る会社と、その製品を使う工場。
影響する: EseeCloud(IP Pro・VR Cam)のアプリで見る防犯カメラを、事務所・店舗・倉庫で使う会社。
影響する: Malcolm v26.08.0以前で、通信を見張っている会社・団体。
影響しない: 6つの製品と、それを組み込んだ製品を使っていないと、台帳と保守会社への確認で分かった会社。

情シスが今日やること

今日中に、資産台帳で6つの製品名と版を検索します。台帳に無い医療機器や設備、カメラもあるため、放射線科・検査部・工場の保全・総務にも同じ一覧で聞きます。
病院・クリニックは、医療情報の担当とPACSの販売店に3つを聞きます。dcm4cheを使っているかと版、受け付ける相手の一覧(AEタイトル・HL7の送信元)、ホストの確認の設定です。使っていれば、5.35.2への更新と設定の日を決めます。
工場と研究機関は、保全の担当・装置の販売店・開発会社に確かめます。N-Tron 700は版とSNMP・ウェブの管理画面の設定、Torrent Suiteは版と初期のパスワード、MiloとMalcolmは版です。止められる時間の決め方は、工場の古いPCは更新できない?製造現場と情シスの止めてよい時間の合わせ方を参考にしてください。
事務所と店舗は、EseeCloud・IP Pro・VR Camのアプリで見ているカメラが無いかを、総務や店長に聞きます。あれば、ルーターでカメラへの外からの接続を許す設定(ポートの開放)をやめ、業務のパソコンと別のネットワークに移し、買い替えの要否を決めます。
結果を「使っている」「使っていない」「未確認」で記録し、未確認の所には回答の期限を付けて追いかけます。CISAは対応の期限を示していないため、期限は社内で決めます。

保守会社・販売店への聞き方

そのまま使える文面の例です。製品の一覧は、相手に関係するものだけ残して送ります。

件名: 米国CISAの勧告(2026年10月15日公表)の対象製品の確認のお願い

いつもお世話になっております。
米国CISAが2026年10月15日に公表し、JVN(JVNVU#96928590)でも
知らされた脆弱性について、弊社に納めていただいた機器・ソフトが
対象かどうかを確認させてください。

1. 次の製品・部品を使っていますか(組み込みを含む)
   dcm4che(dcm4chee-arc-light)、Eclipse Milo、
   Red Lion N-Tron 700シリーズ、Thermo Fisher Torrent Suite、
   EseeCloud、CISA Malcolm
2. 使っている場合、版はいくつですか
3. 修正版への更新の予定日と、作業中に止まる時間を教えてください
4. 更新までの回避策(設定の変更・通信の制限)を教えてください
   dcm4cheの場合は、受け付ける相手の一覧とホストの確認の設定の有無も

〇月〇日までにご回答いただけますと助かります。

確かめられなかったこと

EseeCloudの修正版の予定(メーカーがCISAの調整に応じていない)
Miloを組み込んだ具体的な製品の名前と、Miloの悪用の報告の有無
Red Lionが属するHMS Networksの告知(10月17日時点で、告知の一覧に今回の勧告は見当たらない)
国内の販売店・代理店の案内(この記事では確かめていない)

2026年10月17日時点の内容です。

よくある質問

Qdcm4cheは5.35.2に更新すれば、6件とも片付きますか?

A4件は5.35.2で直ります。残る2件(CVE-2026-105279・105667)は、既定の設定でどこからの接続も受け付けることによる問題です。dcm4cheのGitHubの勧告は「設定で防げる」としています。受け付けるDICOMの相手(AEタイトル)とHL7の送信元を一覧で絞り、相手のホスト名かIPアドレスを確かめる設定を有効にします。HL7の送信元の確認は5.35.2から使えます。

Qうちの病院の画像の保管のしくみがdcm4cheかどうか、どう確かめますか?

A製品名だけでは分からないことがあります。販売店・保守会社に、dcm4chee-arc-lightやdcm4cheの部品を使っているか、版はいくつかを書面で聞いてください。自分たちで入れた場合は、導入した担当者や導入の記録で版を確かめます。

QEseeCloudの防犯カメラは使い続けても大丈夫ですか?

ACISAによると、メーカーはCISAの調整に応じておらず、修正版はありません。カメラに埋め込まれた資格情報でログインされる恐れがあり、深刻度はCVSS v3.1で9.8です。CISAはメーカーへの問い合わせと、機器をインターネットに直接さらさないことを勧めています。業務で使うなら、更新が続く製品への買い替えも検討してください。