30秒で判断
- 対応すべき人: CompuGroup Medical（CGM）が提供する歯科・医療クリニック向けシステム「CGM XDent」「CGM XMedical」を運用している医療機関・歯科医院
- 対応不要な人: CGM XDent / CGM XMedicalを使用していない医療機関・事業者
- 確認コマンド: ベンダー（CGM Italia）の公表情報に従い、該当システムの構成とパッチ適用状況を確認
概要
CVE-2026-118461は、CGM XDentおよびCGM XMedicalで使われる共有クライアントコンポーネントに存在する脆弱性です。CWE-306（重要機能に対する認証の欠如）に分類され、呼び出し元が指定した医師（doctor）識別子に対する読み取り・書き込み操作を、認証情報や認可情報の確認なしに受け入れてしまいます。
この結果、攻撃者が任意の医師IDを指定するだけで、本人確認を経ずにその医師に関連するデータの読み取りや書き込みを行える可能性があります。CVE-2026-118460（共有秘密鍵によるトークン偽造）と合わせて、CGM製品における認証・認可機構の設計上の課題を示すものです。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 8.0 (High) |
| CVSSバージョン | 4.0 |
| 深刻度 | High |
| 脆弱性の種類 | 重要機能に対する認証の欠如（CWE-306） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響コンポーネント |
|---|---|---|
| CGM XDent | CompuGroup Medical | 共有クライアント（医師ID指定の読み書き処理） |
| CGM XMedical | CompuGroup Medical | 共有クライアント（医師ID指定の読み書き処理） |
修正バージョンと回避策
イタリア国家サイバーセキュリティ機関（ACN）およびCGM Italiaから本脆弱性に関する注意喚起が公表されています。CGM XDent/XMedicalを利用している場合は、ベンダーの案内に従い提供される修正の適用を推奨します。
アップデートが難しい場合は、共有クライアントが外部からアクセス可能な範囲を制限し、医師ID指定の読み書き操作のログを監視することが緩和策となります。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。