30秒で判断
- 対応すべき人: CompuGroup Medical（CGM）が提供する歯科・医療クリニック向けシステム「CGM XDent」「CGM XMedical」を運用している医療機関・歯科医院
- 対応不要な人: CGM XDent / CGM XMedicalを使用していない医療機関・事業者
- 確認コマンド: ベンダー（CGM Italia）の公表情報に従い、該当システムの構成とパッチ適用状況を確認
概要
CVE-2026-118460は、CGM XDentおよびCGM XMedicalに組み込まれた秘密鍵が、共有パスワードによって保護される設計になっている脆弱性です。CWE-321（ハードコードされた暗号鍵の使用）に分類されます。この共有パスワードを知っていれば、任意の医療従事者識別子に対する「医療従事者による承認（アサーション）」を偽って署名でき、本来その医療従事者本人しか得られないはずのアクセストークンを不正に要求できる可能性があります。
医療従事者のなりすましにつながるため、患者データの不正取得や、本来権限のない操作の実行につながるリスクがあります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 8.0 (High) |
| CVSSバージョン | 4.0 |
| 深刻度 | High |
| 脆弱性の種類 | ハードコードされた暗号鍵の使用（CWE-321） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響コンポーネント |
|---|---|---|
| CGM XDent | CompuGroup Medical | 医療従事者トークン発行機構 |
| CGM XMedical | CompuGroup Medical | 医療従事者トークン発行機構 |
修正バージョンと回避策
イタリア国家サイバーセキュリティ機関（ACN）およびCGM Italiaから本脆弱性に関する注意喚起が公表されています。CGM XDent/XMedicalを利用している場合は、ベンダーの案内に従い提供される修正の適用を推奨します。
アップデートが難しい場合は、トークン発行機構へのアクセスログを監視し、不自然な医療従事者ID指定によるトークン要求がないか確認することが緩和策となります。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。