工事の検査の前日、現場事務所の共用PCに、電子納品物のチェックソフトが入っています。国土交通省の電子納品物検査支援システムは、その1台で複数の人が使うこともあるソフトです。2026年10月26日にJVNが公開した脆弱性(JVN#75668103)は、そのインストールのしかたに関わります。
対象は Ver.4.0.36 およびそれ以前です。最新版の Ver.4.0.37 は10月20日に公開されています。
何が起きるのか:インストール先のファイルを書き換えられる
JVNによると、このシステムには、インストール時にファイルのアクセス権が不適切に設定される脆弱性(CWE-276)があります。想定される影響は、アプリケーションフォルダ内のファイルが改ざんされ、結果として任意のコードが実行されることです。
評価の数字は次のとおりです。
| 項目 |
内容 |
| 対象 |
電子納品物検査支援システム Ver.4.0.36 およびそれ以前 |
| 識別番号 |
CVE-2026-113345 |
| 深刻度(CVSS v4.0) |
基本値 8.5(攻撃元:ローカル、必要な権限:低) |
| 深刻度(CVSS v3.0) |
基本値 7.8(攻撃元:ローカル、必要な権限:低) |
| 報告者 |
GMO Flatt Security株式会社 RyotaK 氏 |
| 対策 |
最新版へアップデート。新規は最新のインストーラを使う |
JVNが公開した電子納品物検査支援システムの脆弱性情報の画面出典: JPCERT/CC・IPA JVN(引用)
「ローカル」は、そのPCの上で操作することが前提という意味です。「必要な権限が低い」は、管理者ではない一般の利用者のアカウントでも足りる、という評価です。ネットワークの外から直接狙われるものではありません。
ここから先は編集部の見立てです。フォルダの書き込み権限が緩いと、同じPCにログインできる別の利用者が、プログラムの一部を差し替えられます。次にそのソフトを使った人の権限で、差し替えた内容が動きます。管理者がこのソフトを使う場面があれば、一般の利用者が管理者の権限を得る足がかりになりえます。JVNはここまでは書いていません。
誰が使うソフトで、どの会社が気にするべきか
国土交通省の国土技術政策総合研究所が、電子納品・保管管理システムのページで配布しているソフトです。電子納品物(工事や業務の成果を、決められた形式で電子的に納める書類一式)が、基準に合っているかの検査を支える用途で、2024年のJVNも「電子納品物の検査を支援するシステム」と説明しています。
国の配布ページからは、受注者が納品前の確認に使うのか、発注者が検査で使うのかまでは読み取れませんでした。想定される使い手は、建設会社や設計事務所の工事・書類の担当と、自治体などの発注側の検査の担当です。ここは編集部の推測なので、自社で誰が入れたかを確かめるのが先です。
影響する会社・しない会社
影響する:
- 電子納品物検査支援システムの Ver.4.0.36 以前を、現場事務所・本社・自治体の検査の担当のPCに入れている会社や部署です。
- 1台のPCを複数の人が使う共用PC、同じPCに委託先・協力会社の人もログインする環境は、確認の優先度が高くなります。
- 一度入れたまま、版を上げていない古いPCも対象です。
影響しない:
- このシステムを入れていない会社です。国土交通省の別のチェックソフトだけを使っている場合は、今回の脆弱性には当たりません。
- Ver.4.0.37 をすでに入れている場合は、JVNが挙げる対策の版にあたります。ただし、旧版の上に入れた場合のフォルダの権限は、下の手順で確かめてください。
修正版は4.0.37なのか
JVNは「最新版へのアップデート」としていて、修正された版の番号は書いていません。国土交通省のページの改版履歴には、Ver.4.0.37(2026年10月20日)に「セキュリティ関連」という見出しがあります。具体的な内容は書かれておらず、今回の脆弱性の修正かどうかは、公開された範囲では明記されていません。
10月26日時点で入手できる最新版は 4.0.37 です。編集部は、最新版へ上げて、更新後にフォルダの権限を確かめる、という二段で進めるのが現実的だと考えます。
検査の担当のPCで確認すること
- 入っているPCを洗い出す。 現場事務所、本社の書類担当、検査担当者のPC、委託先に貸しているPCを確認します。資産台帳に載っていないソフトなので、各部署に「電子納品物検査支援システムを使っているか」と聞くのが早いです。
- 版を確認する。 起動画面の「バージョン情報」で版が分かります(国土交通省のページにも、この確認の方法が書かれています)。4.0.36 以前なら更新の対象です。
- 最新版に更新する。 配布ページの最新版を取得し、インストールします。取得先は国土交通省のページだけにし、他のサイトの再配布は使わないようにします。
- 更新後にインストール先フォルダの権限を見る。 フォルダのプロパティの「セキュリティ」で、一般の利用者のグループに「変更」や「書き込み」が付いていないかを見ます。付いている場合は、システム管理者に外してもらうか、入れ直しの手順を相談します。
- 共用をやめられるか考える。 検査の担当者専用のアカウントに限る、共用PCでは使う人を限る、といった運用に変えると、同じ型の問題の影響を小さくできます。
情シスが今日やること
- 今日中に、各部署と現場の担当へ「電子納品物検査支援システムの利用の有無と版」を聞く連絡を出します。
- 見つかったPCは、業務の都合を見て、検査の予定がある現場から先に更新します。
- 更新を終えたPCは、フォルダの権限の確認結果を一行ずつ台帳に残します。
- 国土交通省のページの改版履歴や、JVNの更新に新しい情報が出ていないかを、週に一度は見ます。
2024年1月には、同じシステムの Ver.4.0.31 以前に別の脆弱性(XXE、JVN#77736613)が公表されています。専用のチェックソフトは、資産台帳に載らないまま、古い版が残りやすいと編集部は見ています。この機会に、現場で使っている専用ソフトを一覧にしておくと、次の公表のときに役立ちます。
