目次（6）
CVE-2026-16305
医用画像管理システム INFINITT PACS の System Manager に、ローカルでの権限昇格の問題 CVE-2026-16305 が公開されました。CERT/CC が VU#203719 として 2026-11-02 に公表し、JPCERT/CC も JVNVU#99859918（2026-11-04）で紹介しています。更新の案内ファイル execlist.txt を一般ユーザーが書き換えられるため、更新が承認されたときに、細工したコマンドが管理者権限で実行される恐れがあります。同じ公表には、別の問題 CVE-2026-16306（imodular:// リンク経由。当サイトの 11/3 の記事で扱い済み）も含まれます。
内容
CERT/CC の説明によると、更新のあとに SmartExecute.exe が execlist.txt に書かれたコマンドを読んで実行します。このファイルの権限設定が緩く、権限の低いユーザーでも書き換えられます。そのため、処理される前に攻撃者が任意のコマンドを足すと、SmartUpdate.exe の起動後に SmartExecute.exe が動き、ユーザーアカウント制御（UAC）の確認が出たときに、足されたコマンドが管理者権限で実行され得ます。NVD も同じ内容で、2026-11-02 に登録しました（状態は Deferred＝分析の保留）。
攻撃には、その端末にログインできる権限の低いユーザーが必要です（ローカル）。また、更新の承認（UAC の確認）という管理者側の操作が前提になります。
影響を受ける範囲
- CERT/CC は、System Manager 3.0.11.3 と 3.0.11.5 を使う INFINITT PACS を影響ありとしています。
- 修正版は 3.0.12.3 と 3.0.12.5 です。上のバージョンのどちらに対してどちらへ上げるかの対応表は、公表文には書かれていません（未確認）。
評価
| 指標 | 値 |
|---|---|
| CVE 番号 | CVE-2026-16305（同じ公表に CVE-2026-16306 も含まれる） |
| CVSS | まだ付いていません（NVD は 11/7 時点で Deferred。CERT/CC・JVN にも数値なし） |
| 攻撃の条件 | ローカル・権限の低いユーザー・更新の承認が必要 |
| 影響（CERT/CC） | 管理者権限でのコマンド実行。ソフトの導入・変更、保護されたファイルの閲覧、セキュリティ機能の無効化、常駐化につながり得る |
| EPSS | 0.0026（FIRST、11/6 時点） |
| CISA KEV | 掲載なし（11/7 確認） |
- CERT/CC は、悪用された形跡はないとしています。
- 数値の評価がなく、ローカルで更新時の操作が前提のため、当サイトの基準では medium を案とします。管理者権限が取れる点を重く見るなら high も考えられます。
修正と回避策
- 修正: System Manager 3.0.12.3 または 3.0.12.5 への更新。CERT/CC は「運用上可能になり次第」更新するよう勧めています。
- 回避策: 公表文には書かれていません（未確認）。更新までの間は、
execlist.txtの置き場所の書き込み権限を、管理者だけに絞れないかを製品の担当者に確認するのが現実的です。この対処が有効かは本稿では確認していません。
利用者が考えられること
- 院内の端末で、System Manager のバージョンが 3.0.11.3 または 3.0.11.5 かを確認します。
- 修正版（3.0.12.x）への更新を、販売元の案内に沿って計画します。
- 更新を承認する前に、
execlist.txtが意図しない内容に書き換わっていないかを確認します。UAC の確認が出た更新は、内容が分かるものだけ承認します。 - 同じ公表の CVE-2026-16306（リンクを開かせてコード実行される恐れ）も、同じ更新で対処されます。
未確認の点
- CVSS の数値（NVD は保留中）。
- 3.0.11.3 と 3.0.11.5 のそれぞれの修正版の対応、修正版の公開日。
- 回避策、
execlist.txtの既定の場所と権限の詳細。 - 悪用の有無（CERT/CC は形跡なしとするが、継続的な確認ではない）。本稿は公開情報の読み取りで、再現はしていません。
- 報告者は CERT/CC の公表文に個人名で載っていますが、本稿には載せていません。
この記事について
- 執筆・編集
- World Security 編集部
- AI の利用
- 本記事は AI が CERT/CC・JVN・NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-07）のもので、未確認の点は本文に明記しています。
