---
title: "INFINITT PACS の CVE-2026-16306: imodular:// URI ハンドラー経由で、認証なしの攻撃者が任意コード実行を狙える。CVSS 未付与"
url: https://n-t-p.io/worldsecurity/articles/infinitt-pacs-imodular-uri-handler-remote-code-execution-cve-2026-16306
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月3日
updated: 2026年11月3日
severity: 高
cve: CVE-2026-16306
---

# INFINITT PACS の CVE-2026-16306: imodular:// URI ハンドラー経由で、認証なしの攻撃者が任意コード実行を狙える。CVSS 未付与

> **TL;DR:** INFINITT PACS の `IModular.exe` の URI ハンドラーが `imodular://` の細工した URI を処理し、認証なしの遠隔の攻撃者が任意コードを実行できる可能性がある（CVE-2026-16306）。NVD は Deferred で CVSS は未付与。対象は System Manager 3.0.11.3〜3.0.11.5。修正版は確認できず、KEV なし、EPSS は未算定。

**要点**
- `imodular://` URI ハンドラー経由で、攻撃者指定のコマンドと引数により想定外の機能が呼ばれ、任意コード実行の可能性（CERT/CC が CNA）
- NVD は Deferred で CVSS は未付与。認証不要の遠隔の攻撃者と説明されるため、本サイトでは high とし、スコア付与後に見直す
- 対象は NVD 上 System Manager 3.0.11.3〜3.0.11.5。ベンダーの修正版・回避策は確認できていない
- 悪用の実態、細工 URI を開かせる操作の要否、修正状況は未確認。KEV なし、EPSS は未算定

INFINITT Healthcare の医用画像管理システム INFINITT PACS に、リモートコード実行の問題 CVE-2026-16306 が公開されました。NVD は 2026-11-02 に登録し、状態は Deferred（分析の保留）で、CVSS はまだ付いていません。CERT/CC が CNA として登録しており、`IModular.exe` の URI ハンドラーが `imodular://` の URI に含まれるコマンドと引数を受け取り、想定外の機能を呼び出せるため、認証なしの遠隔の攻撃者が任意のコードを実行できる可能性があると説明されています。

## 概要

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-16306 |
| 製品 | INFINITT Healthcare INFINITT PACS（NVD の対象データ上は System Manager） |
| 問題 | `IModular.exe` の URI ハンドラーが、`imodular://` の URI に含まれる攻撃者指定のコマンドと引数をそのまま扱う |
| 攻撃条件 | 認証不要の遠隔の攻撃者（NVD の説明）。細工した URI を開かせる操作が要るかは未確認 |
| 結果 | 想定外の機能の呼び出しと、任意コード実行の可能性 |

- `imodular://` は Windows のアプリに結びつくカスタム URI です。細工したリンクを開いた端末で、登録されたハンドラーが呼ばれる形が想定されますが、NVD の説明に操作の詳細はありません。
- 医療機関の画像管理に使われる製品であり、院内の端末が侵害されると患者情報の画像データへの影響が懸念されます。ただし、実際の被害は確認されていません。

## 影響範囲

NVD の対象データでは、INFINITT Healthcare の System Manager のうち、3.0.11.3 以上 3.0.11.5 以下が影響を受けるとされています。

- 製品名は NVD 上 System Manager で、本文の説明は INFINITT PACS となっています。両者の関係は未確認です。
- 3.0.11.5 より新しい版や、別系統の版が影響を受けるかは確認できていません。

## 修正と対策

- ベンダーの修正版や回避策は、確認できた範囲では見つかっていません（NVD の参照はベンダーのトップページのみ）。
- 利用中の施設は、ベンダーに修正状況を確認してください。
- 医用画像の端末で、見知らぬリンクや添付ファイルから `imodular://` の URI を開かない運用を徹底する。
- 可能なら、端末で `imodular://` の関連付けを必要な範囲に限定し、メールやブラウザーからの起動を制限する。
- 端末の検知製品で、`IModular.exe` が想定外のコマンドを子プロセスとして起動していないかを確認する。

INFINITT PACS には、2025 年にも別の脆弱性（CVE-2025-27714、CVE-2025-27721 など）が公表されています。今回の CVE-2026-16306 とは別の問題です。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD の状態 | Deferred |
| CVSS | 未付与（NVD にスコアなし） |
| EPSS | 未算定（FIRST、2026-11-03 時点） |
| KEV | 掲載なし（CISA のカタログを確認） |
| 出典 | NVD、CERT/CC（CNA）、FIRST、CISA |

## 未確認の点

- CVSS の評価と、NVD による分析（状態は Deferred）。
- 実際の攻撃での悪用の有無（KEV 掲載なし、EPSS は未算定）。
- ベンダーの修正版・回避策の有無と版番号。
- 細工した URI を開かせる操作の要否と、ブラウザーなど起動経路。
- 製品名（INFINITT PACS と System Manager）の対応関係と、3.0.11.5 より新しい版への影響。


## 出典
- [NVD CVE-2026-16306](https://nvd.nist.gov/vuln/detail/CVE-2026-16306) — NIST NVD
- [INFINITT Healthcare（NVD 参照のベンダーサイト）](https://www.infinittna.com/) — INFINITT Healthcare
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-16306) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/infinitt-pacs-imodular-uri-handler-remote-code-execution-cve-2026-16306