INFINITT PACS の CVE-2026-16306: imodular:// URI ハンドラー経由で、認証なしの攻撃者が任意コード実行を狙える。CVSS 未付与

INFINITT Healthcare の医用画像管理システム INFINITT PACS に、リモートコード実行の問題 CVE-2026-16306 が公開されました。NVD は 2026-11-02 に登録し、状態は Deferred（分析の保留）で、CVSS はまだ付いていません。CERT/CC が CNA として登録しており、IModular.exe の URI ハンドラーが imodular:// の URI に含まれるコマンドと引数を受け取り、想定外の機能を呼び出せるため、認証なしの遠隔の攻撃者が任意のコードを実行できる可能性があると説明されています。

概要

項目	内容
CVE	CVE-2026-16306
製品	INFINITT Healthcare INFINITT PACS（NVD の対象データ上は System Manager）
問題	IModular.exe の URI ハンドラーが、imodular:// の URI に含まれる攻撃者指定のコマンドと引数をそのまま扱う
攻撃条件	認証不要の遠隔の攻撃者（NVD の説明）。細工した URI を開かせる操作が要るかは未確認
結果	想定外の機能の呼び出しと、任意コード実行の可能性

• imodular:// は Windows のアプリに結びつくカスタム URI です。細工したリンクを開いた端末で、登録されたハンドラーが呼ばれる形が想定されますが、NVD の説明に操作の詳細はありません。
• 医療機関の画像管理に使われる製品であり、院内の端末が侵害されると患者情報の画像データへの影響が懸念されます。ただし、実際の被害は確認されていません。

影響範囲

NVD の対象データでは、INFINITT Healthcare の System Manager のうち、3.0.11.3 以上 3.0.11.5 以下が影響を受けるとされています。

• 製品名は NVD 上 System Manager で、本文の説明は INFINITT PACS となっています。両者の関係は未確認です。
• 3.0.11.5 より新しい版や、別系統の版が影響を受けるかは確認できていません。

修正と対策

• ベンダーの修正版や回避策は、確認できた範囲では見つかっていません（NVD の参照はベンダーのトップページのみ）。
• 利用中の施設は、ベンダーに修正状況を確認してください。
• 医用画像の端末で、見知らぬリンクや添付ファイルから imodular:// の URI を開かない運用を徹底する。
• 可能なら、端末で imodular:// の関連付けを必要な範囲に限定し、メールやブラウザーからの起動を制限する。
• 端末の検知製品で、IModular.exe が想定外のコマンドを子プロセスとして起動していないかを確認する。

INFINITT PACS には、2025 年にも別の脆弱性（CVE-2025-27714、CVE-2025-27721 など）が公表されています。今回の CVE-2026-16306 とは別の問題です。

数値と出典（2026-11-03 時点）

項目	内容
NVD の状態	Deferred
CVSS	未付与（NVD にスコアなし）
EPSS	未算定（FIRST、2026-11-03 時点）
KEV	掲載なし（CISA のカタログを確認）
出典	NVD、CERT/CC（CNA）、FIRST、CISA

未確認の点

• CVSS の評価と、NVD による分析（状態は Deferred）。
• 実際の攻撃での悪用の有無（KEV 掲載なし、EPSS は未算定）。
• ベンダーの修正版・回避策の有無と版番号。
• 細工した URI を開かせる操作の要否と、ブラウザーなど起動経路。
• 製品名（INFINITT PACS と System Manager）の対応関係と、3.0.11.5 より新しい版への影響。