2026 年 11 月 FDA 公示 IntelePACS 二级召回：管理员会话可被接管，560 套影像平台在列

2026 年 11 月 4 日公示的这条记录，动作是纠正不是收回

美国 FDA 器械召回数据库在 2026 年 11 月 4 日新增一条二级召回记录，编号 Z-0357-2027，召回事件号 99971。产品是 Intelerad 的 IntelePACS 影像归档与通信软件，生产企业为 Intelerad Medical Systems Incorporated，注册地加拿大蒙特利尔。记录状态写的是开放、已分级，意思是企业已经启动动作，但纠正尚未全部完成，记录还会继续更新。

按 FDA 的公开定义，召回包含纠正与收回两种形态。纠正在设备使用或销售的原场所解决问题，收回是把设备从原场所移走。这条记录落在纠正一侧，企业发出的文书名称是紧急器械纠正通知，不是要求客户把系统退回。

时间线在记录里写得很清楚。企业 2026 年 9 月 10 日启动这次动作，9 月 15 日通过电子邮件向受影响客户发出紧急器械纠正通知，FDA 在 11 月 4 日完成公示并给出分级。从企业启动到监管公示，中间隔了将近两个月。

受影响版本是 16 条版本条目，不是某一个补丁号

官方在代码信息栏给出的产品标识是 HIBCC B228INTELEPACS0，后面跟着 16 条版本条目。其中两条是单一版本：PACS-4-3-4-R20 与 PACS-4-9-1-R80。其余 14 条是区间：PACS-4-12-1-R81 至 R90、PACS-4-14-1-R46 至 R137、PACS-4-16-1-R50 至 R137、PACS-4-17-1-R23 至 R117、PACS-4-18-1-R31 至 R91，以及 PACS-5-1-1-R17 至 R102、PACS-5-2-1-R36 至 R93、PACS-5-3-1-R26 至 R128、PACS-5-4-1-R15 至 R101、PACS-5-5-1-R7 至 R89、PACS-5-6-1-R12 至 R81、PACS-5-7-1-R2 至 R61、PACS-5-8-1-R2 至 R42、PACS-5-9-1-R8 至 R19。

把清单摊开看，跨度覆盖 4.x 与 5.x 两个大版本、十几个次版本。最低到 PACS-4-3-4，最高到 PACS-5-9-1。这种划法说明缺陷并非某一次补丁带进来的。它在这段版本谱系里一直存在。现场装的是哪一版，都可能落在范围内。

两个缺陷分属不同性质

制造商给出的召回原因有两句。第一句是网络安全侧的：软件中存在一个漏洞，恶意用户可能利用它接管管理员会话，删除或修改影像与检查数据，或者把合法用户锁在系统之外。第二句是功能侧的。外部归档集成存在一个软件问题，可能导致影像数据被非预期删除。

两句指向的后果不一样。接管管理员会话改的是权限边界，拿到的是系统最高操作权，需要有人主动利用；误删外部归档影像改的是数据完整性，不需要攻击者介入，正常业务流程里就可能发生。前者的风险看得见，后者的风险在于没有提示——数据没了，界面不一定报错。

FDA 在原因字段里把这条归为软件设计变更（Software Design Change）。这个归类说的是缺陷落在设计环节，不是使用或维护环节的操作失误。

官方要求客户做的事，只有四项

记录里列出的处置要求很简短。在 Intelerad 完成更正之前，客户可以继续使用系统。前提是继续执行本机构既有的网络安全与访问控制实践。机构内所有可能使用该系统的人，都要被告知这份安全通知与建议动作。这份文件要留存归档。最后一项是回执：通过 FMI 88101 数字回执表在线提交，或者把表格打印、手工填写、扫描后发到 Recall.88101@gehealthcare.com。

记录里没有出现停用、隔离、退货这类字眼。这一点与影像归档系统的使用方式有关：PACS 一旦停掉，放射科的阅片流程会当场中断。通知给的是带着缓解措施继续运行的路径，而不是停机路径。

560 套平台，跨七个国家

数量栏写的是 560 套软件平台。分销范围包括美国多州，以及澳大利亚、加拿大、爱尔兰、新西兰、南非与英国。通告由 Intelerad 发出，通知对象是受影响客户，公司在通知里标注为 GE HealthCare 旗下企业。

产品的监管身份在数据库里可以追到 510(k)。这条记录关联的编号是 K192176，器械名 IntelePACS，分类名称为放射影像处理系统，产品代码 LLZ，法规条款为 21 CFR 892.2050。该 510(k) 于 2019 年 8 月 12 日收件，2020 年 4 月 2 日作出实质等同决定，走的是传统路径，未经第三方审核。

二级分级对应的风险表述

FDA 对召回分级的定义写在公开说明里。一级是指产品有合理可能导致严重健康问题或死亡。二级是指产品可能造成暂时或可逆的健康问题，或者存在轻微可能导致严重健康问题或死亡的机会。三级是指产品不太可能造成任何健康问题或伤害。

这次落在二级。把定义与上面的缺陷描述放在一起看，判断依据是潜在后果的性质与发生路径，而不是已经造成的伤害数量。官方记录本身没有给出伤害统计，也没有列出与这次纠正绑定的不良事件编号。分级完成后，FDA 会继续监督召回执行，直到确认产品不再违法、不再构成健康危害，才会终止这条记录。

影像数据被改动的后果，比系统停机更难处理

影像归档系统保存的是诊断依据。一条检查的原始图像如果被修改或删除，受影响的远不止一个界面功能。后续所有基于它作出的判断都要跟着承担后果。复诊对比失去参照，多学科会诊拿到的不是原始数据，事后追溯也说不清哪一版是真的。

这也是同一个漏洞，放在普通办公软件上是信息安全事件，放在影像系统上要走器械召回流程的原因。器械的安全与有效性，包含数据完整性这一层。

还有一点值得留意。这类系统通常部署在医院内网，但通告的分销栏列了六个海外国家。可以理解为这类产品的交付、托管或远程支持本身就有跨国链条，软件缺陷的传播路径跟着服务链走，不跟着设备报关单走。对出口企业来说，一处代码缺陷的影响面，往往等于服务覆盖的国家数乘以装机量。

来源与适用说明

来源：U.S. Food and Drug Administration (FDA), CDRH — Medical Device Recall Database, Class 2 Device Recall intelerad IntelePACS software（召回编号 Z-0357-2027，事件号 99971，公示日期 2026 年 11 月 4 日）。
https://www.accessdata.fda.gov/scripts/cdrh/cfdocs/cfRES/res.cfm?id=223113
来源：U.S. Food and Drug Administration (FDA) — 510(k) Premarket Notification Database, K192176 IntelePACS（决定日期 2020 年 4 月 2 日，产品代码 LLZ，法规条款 21 CFR 892.2050）。
https://www.accessdata.fda.gov/scripts/cdrh/cfdocs/cfPMN/pmn.cfm?ID=K192176
来源：U.S. Food and Drug Administration (FDA), CDRH — What is a Medical Device Recall?（召回、纠正与收回的定义，以及一级、二级、三级分级标准）。
https://www.fda.gov/medical-devices/medical-device-recalls-and-early-alerts/what-medical-device-recall

核验范围与访问日期：本次核验了上述三个 FDA 官方页面，逐条比对了召回编号、事件号、公示日期、企业启动与通知日期、受影响版本清单、召回原因表述、处置要求、数量与分销范围；并核对了 K192176 的器械名称、分类、产品代码与决定日期。访问日期为 2026 年 11 月 6 日。企业发出的紧急器械纠正通知原文、回执表内容、更正版本发布时间与已报告不良事件数据，不在本次核验范围内。

适用说明：本文是对 FDA 公开监管信息的整理与解读，不构成对任何具体产品、企业或注册申请的合规结论与承诺。版本范围、处置要求与风险描述均以 FDA 官方页面为准，信息可能随后续官方更新而变化；涉及具体在售产品时，应以官方原文与企业最新通知为最终依据。