Die Entdeckung unterstreicht einen fundamentalen Wandel in der Cybersicherheit: Künstliche Intelligenz komprimiert Aufgaben, die Sicherheitsforscher früher Monate kostete, auf wenige Wochen oder Tage. Zum Vergleich: Eine unabhängige Sicherheitsüberprüfung von OpenEMR aus dem Jahr 2018 dauerte erheblich länger und identifizierte nur 23 Schwachstellen.
Die 38 neu entdeckten CVEs reichen in ihrer Schwere von mittel bis kritisch. Das kritischste Problem ist CVE-2026-24908 mit einem CVSS-Wert von 10,0 — der maximalen Bewertung. Diese SQL-Injektions-Lücke in OpenEMRs Patient REST API ermöglicht authentifizierten Angreifern, Passwort-Hashes abzurufen, beliebige Datenbankeinträge einzusehen und unter Umständen Dateien auf dem Server zu lesen oder zu schreiben. Im schlimmsten Fall erlaubt dies die vollständige Remote-Übernahme des Systems.
Zwei weitere hervorgehobene Lücken sind CVE-2026-23627 (CVSS 8,8) in Immunisierungsverfolgungsmodulen und CVE-2026-24487 (CVSS 6,5) im FHIR-CareTeam-Endpoint. Letztere ist ein Autorisierungsumgehungsfehler, der sensible Daten aller Patienten statt nur des betreffenden Patienten offenbarte.
Weshalb das problematisch ist: OpenEMR verwaltet Protected Health Information (PHI) — hochgradig sensible Patientendaten. Eine großflächige Kompromittierung hätte katastrophale Folgen für Patienten und erhebliche juristische Konsequenzen für Betreiber. Das deutsche Datenschutzrecht und die DSGVO verpflichten Organisationen zur unverzüglichen Meldung von Datenpannen — Bußgelder können bis zu 4 Prozent des Jahresumsatzes erreichen.
Positiv: OpenEMR reagierte schnell. Version 8.0.0 wurde im Februar veröffentlicht, weitere Patches folgten im März. Aisle half zudem durch konkrete Patch-Vorschläge, die Entwickler direkt in den Code integrieren konnten. OpenEMR hat das KI-Tool mittlerweile in seinen Code-Review-Prozess aufgenommen.
Doch die rasante Zunahme KI-gestützter Schwachstellenerkennung bringt auch Herausforderungen: Sicherheitsteams müssen Hunderte neuer CVEs triagieren und priorisieren. Schlimmer noch — Cyberkriminelle nutzen dieselbe Technologie, um Lücken vor Patches auszunutzen. Anthropic startete daher das Project Glasswing, um diese Risiken zu adressieren.
Das Fazit für deutsche Gesundheitseinrichtungen: OpenEMR-Nutzer sollten sofort auf die neuesten Versionen updaten und ihre Patch-Management-Prozesse verstärken. Das BSI empfiehlt regelmäßige Sicherheitsaudits offener Software sowie die Implementierung von Web Application Firewalls.