38 CVEs in OpenEMR: Sicherheitsfirma Aisle deckt Dutzende Schwachstellen in Medizinsoftware auf
Automatisiert erstellt von CyberDeutsch
Zusammenfassung
In der quelloffenen Plattform für elektronische Patientenakten OpenEMR sind kürzlich Dutzende Schwachstellen entdeckt worden, darunter kritische Lücken, über die sich sensible Patientendaten stehlen lassen. OpenEMR wird nach Angaben der Sicherheitsfirma Aisle weltweit von mehr als 100.000 Gesundheitsdienstleistern eingesetzt und speichert Daten zu über 200 Millionen Patienten. Die auf Anwendungssicherheit spezialisierte Firma analysierte die Software mit ihrem autonomen Analysewerkzeug und identifizierte insgesamt 39 Probleme, von denen 38 eine CVE-Kennung erhielten. Die Untersuchung entstand im Rahmen einer Zusammenarbeit zwischen den OpenEMR-Entwicklern und Aisle; sämtliche Schwachstellen wurden bereits behoben. Der Großteil der Mängel ging auf fehlende oder fehlerhafte Autorisierung zurück. Die übrigen ordnete Aisle den Kategorien Cross-Site-Scripting, SQL-Injection, Path Traversal sowie Problemen beim Ablauf von Sitzungen zu. Besonders schwer wiegen laut Aisle Fälle, in denen SQL-Injection in Kombination mit moderaten Datenbankrechten zu einer vollständigen Kompromittierung der Datenbank, zum Abfluss geschützter Gesundheitsdaten in großem Umfang und zur Ausführung von Code aus der Ferne hätte führen können.
Aisle hob drei Schwachstellen hervor, über die sich Patientendaten einsehen oder verändern lassen. Zwei davon sind als kritisch eingestufte SQL-Injection-Lücken, geführt unter CVE-2026-24908 und CVE-2026-23627. Sie erlauben es laut der Sicherheitsfirma jedem authentifizierten Angreifer, eine Datenbank zu kompromittieren, Daten abzuziehen, Zugangsdaten zu stehlen und beliebigen Code auszuführen.
Eine dritte Lücke, die Patientendaten offenlegt, wird unter CVE-2026-24487 geführt und als Umgehung der Autorisierung beschrieben. Die vollständige Liste der OpenEMR-CVEs hat Aisle in einem Blogbeitrag veröffentlicht.
Kritische OpenEMR-Schwachstellen, die Patienteninformationen preisgeben, werden regelmäßig von Sicherheitsforschern gefunden. CVEdetails verzeichnet über die vergangene Dekade mehr als 200 entdeckte Schwachstellen.
Öffentliche Berichte über eine tatsächliche Ausnutzung von OpenEMR-Lücken im realen Einsatz scheint es dagegen nicht zu geben. Als mögliche Gründe nennt der Bericht, dass viele OpenEMR-Installationen hinter einer Firewall betrieben oder aktuell gehalten werden und Gesundheitsorganisationen häufiger über breitere Angriffswege getroffen werden als über anwendungsspezifische Schwachstellen.
