Drei schwerwiegende Schwachstellen legen Daten und Zugangsdaten von NextGen Mirth Connect offen

CISA hat drei schwerwiegende Schwachstellen in NextGen Healthcare Mirth Connect offengelegt, einer weltweit eingesetzten Plattform zur Integration von Gesundheitssystemen. Betroffen sind alle Versionen bis einschließlich Version 4.7.1.

Bei den Schwachstellen handelt es sich um eine authentifizierte SQL-Injection-Schwachstelle und zwei Schwachstellen durch XML External Entity (XXE). Je nach Angriffsweg könnten Angreifer Gesundheitsdaten offenlegen, Zugangsdaten für verbundene Systeme auslesen, beliebige Dateien erstellen oder Mirth-Connect-Dienste stören.

Der von CISA veröffentlichte ICS Medical Advisory wurde erstmals am 10. September 2026 veröffentlicht. Abhinav Agarwal meldete die Schwachstellen der Behörde.

CISA zufolge lagen zum Zeitpunkt der Veröffentlichung des Advisories keine Hinweise auf eine gezielte öffentliche Ausnutzung dieser Schwachstellen vor. Allerdings wurde weder eine korrigierte Version noch ein vom Hersteller bereitgestellter Upgrade-Pfad identifiziert.

Jede Mirth-Connect-Version bis einschließlich 4.7.1 ist betroffen

Betroffen ist NextGen Healthcare Mirth Connect v4.7.1 und früher. Die Software wird im kritischen Infrastruktursektor für Gesundheitsversorgung und öffentliche Gesundheit eingesetzt. NextGen Healthcare hat seinen Hauptsitz in den USA, das Produkt wird jedoch weltweit eingesetzt.

Mirth Connect überträgt und transformiert Informationen zwischen Gesundheitssystemen. Dadurch kann die Plattform Zugriff auf sensible Daten und auf Zugangsdaten erhalten, die für die Kommunikation mit externen Anwendungen erforderlich sind.

Die drei Schwachstellen sind:

• CVE-2026-82583: SQL-Injection über die Database Connector API.
• CVE-2026-78224: XXE-Injection im XSLT Transformer Step.
• CVE-2026-82578: XXE-Injection bei der XML-Batch-Verarbeitung, wenn XPath aktiviert ist.

Alle drei Schwachstellen sind sowohl nach CVSS 3.1 als auch nach CVSS 4.0 als Hoch eingestuft. Der produktbezogene Eintrag in der Zusammenfassung von CISA weist einen CVSS-3-Basiswert von 8,3 auf.

Es wurde keine Version mit Abhilfe veröffentlicht. Daher können Unternehmen nicht davon ausgehen, dass ein Wechsel von einer betroffenen Version auf eine andere innerhalb des Bereichs 4.7.1 und früher die Schwachstellen beseitigt.

Database Connector API ermöglicht beliebige SQL-Anweisungen

Die funktional weitreichendste Schwachstelle ist CVE-2026-82583, eine SQL-Injection-Schwachstelle in der Database Connector API von Mirth Connect.

Ein Angreifer benötigt zunächst ein authentifiziertes Konto, allerdings reichen Berechtigungen auf niedrigem Niveau aus. Anschließend kann die verwundbare API missbraucht werden, um beliebige SQL-Anweisungen in der zugehörigen Datenbankumgebung auszuführen.

Eine erfolgreiche Ausnutzung könnte Zugangsdaten offenlegen, die für mit Mirth Connect verbundene Systeme gespeichert sind. Je nach betroffener Umgebung und den über die Datenbankverbindung verfügbaren Funktionen könnten Angreifer außerdem beliebige Dateien schreiben und Denial-of-Service-Angriffe durchführen.

Die Schwachstelle hat einen CVSS-3.1-Wert von 8,3 mit folgendem Vektor:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H

Die Bewertung berücksichtigt einen netzwerkbasierten Angriff mit geringer Komplexität, niedrigen Berechtigungen und ohne erforderliche Benutzerinteraktion. Die Auswirkungen auf Vertraulichkeit und Verfügbarkeit sind hoch, die Auswirkungen auf die Integrität werden als niedrig eingestuft.

Der CVSS-4.0-Wert beträgt 7,2. Verwendet wird folgender Vektor:

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:H/SC:N/SI:N/SA:N

Die erforderliche Authentifizierung schränkt ein, wer den Angriff starten kann, macht die Schwachstelle jedoch nicht belanglos. Ein gestohlenes Konto, eine fehlerhaft vergebene Rolle oder ein böswilliger Insider könnten den erforderlichen Ausgangszugriff ermöglichen, um die verwundbare API zu erreichen.

Zwei XML-Verarbeitungspfade ermöglichen XXE-Injection

Die übrigen Schwachstellen entstehen durch die unsichere Verarbeitung externer Entitäten in XML. XXE-Angriffe missbrauchen Funktionen von XML-Parsern, die von Angreifern kontrollierte Entitätsverweise auflösen können. Dadurch lassen sich möglicherweise für die Anwendung zugängliche Informationen abrufen oder Ressourcen so stark beanspruchen, dass ein Dienst nicht mehr verfügbar ist.

CVE-2026-78224 betrifft den XSLT Transformer Step. Mirth Connect erstellt eine TransformerFactory, ohne die erforderlichen Sicherheitskontrollen zur Einschränkung des Verhaltens externer Entitäten zu aktivieren.

Angreifer können diese Konfiguration missbrauchen, um Daten abzurufen oder einen Denial-of-Service zu verursachen. Nach der veröffentlichten Bewertung sind dafür weder Berechtigungen noch Benutzerinteraktion erforderlich.

Die Schwachstelle hat einen CVSS-3.1-Wert von 8,2:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L

Der CVSS-4.0-Wert beträgt 8,8:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N

CVE-2026-82578 betrifft einen separaten XML-Workflow. Wenn die XML-Batch-Verarbeitung aktiviert und die Option XPath ausgewählt ist, wird die unverarbeitete Batch-Eingabe über eine standardmäßige XPath-/JAXP-Konfiguration geleitet, der die erforderlichen Einschränkungen für Entitäten fehlen.

Dadurch kann bösartiges XML die Verarbeitung externer Entitäten auslösen. Zu den dokumentierten Folgen gehören Datenexfiltration und laut Beschreibung der Schwachstelle möglicherweise auch ein Denial-of-Service.

CVE-2026-82578 hat einen CVSS-3.1-Wert von 7,5:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Der CVSS-4.0-Wert beträgt 8,7:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Beide XXE-Schwachstellen sind aus der Ferne erreichbar. Laut den veröffentlichten Vektoren handelt es sich um Angriffswege mit geringer Komplexität, für die weder eine Authentifizierung noch eine Benutzerinteraktion erforderlich ist. Die wichtigste Sicherheitsfolge ist der Verlust der Vertraulichkeit.

Integrationen im Gesundheitswesen vergrößern die möglichen Auswirkungen

Mirth Connect kann zwischen klinischen Anwendungen, Datenbanken und anderen verbundenen Diensten eingesetzt werden. Eine Kompromittierung kann daher mehr als nur den Integrationsserver selbst betreffen.

Die SQL-Injection-Schwachstelle könnte Zugangsdaten offenlegen, die Mirth Connect für den Zugriff auf externe Systeme verwendet. Diese Zugangsdaten könnten als Ausgangspunkt für den Zugriff auf weitere Ressourcen dienen. Wie weit dieser Zugriff reicht, hängt jedoch von den lokalen Berechtigungen und der Netzwerkarchitektur ab.

Die XXE-Schwachstellen könnten Daten offenlegen, auf die der betroffene Prozess zugreifen kann. Außerdem könnten sie die Nachrichtenumwandlung oder Batch-Verarbeitungsfunktionen beeinträchtigen und dadurch den Informationsaustausch zwischen Anwendungen im Gesundheitswesen stören.

Die konkreten Auswirkungen unterscheiden sich je nach Bereitstellung. Zu den relevanten Faktoren gehören die Erreichbarkeit der verwundbaren Schnittstellen, die aktivierten Funktionen von Mirth Connect, die Berechtigungen des Dienstes und der Datenbank sowie die Frage, ob die Plattform von klinischen und geschäftlichen Netzwerken getrennt ist.

Zum Zeitpunkt der Veröffentlichung wurden weder ein öffentlich verfügbarer Exploit noch Hinweise auf laufende Angriffe oder Indicators of Compromise identifiziert. Für diese CVEs wurde weder ein Aufnahmedatum in die CISA-Liste der bekannten ausgenutzten Schwachstellen noch eine Frist zur Behebung angegeben.

Betreiber müssen die Angriffsfläche bis zur Veröffentlichung eines Fixes reduzieren

Da keine korrigierte Version und kein konkreter Upgrade-Pfad veröffentlicht wurden, sollten Betreiber zunächst jede Mirth-Connect-Instanz erfassen und ihre Version überprüfen. Jede Bereitstellung mit 4.7.1 oder früher sollte als betroffen behandelt werden.

CISA empfiehlt, Mirth Connect und vergleichbare Dienste für Steuerungssysteme nicht im öffentlichen Internet bereitzustellen. Firewalls und Netzwerksegmentierung sollten die Infrastruktur für Integrationen im Gesundheitswesen von Geschäftsnetzwerken trennen und Verbindungen auf freigegebene Systeme beschränken.

Der Fernzugriff auf administrative Funktionen sollte über ein gepflegtes VPN oder einen anderen abgesicherten Zugriffsmechanismus erfolgen. Ein VPN allein reicht nicht aus, wenn seine Software verwundbar ist oder der zugreifende Endpunkt bereits kompromittiert wurde.

Unternehmen sollten außerdem Folgendes überprüfen:

• Konten mit Zugriff auf die Database Connector API, insbesondere Benutzer mit niedrigen Berechtigungen, deren Zugriff nicht erforderlich ist.
• Fehlgeschlagene Authentifizierungen, ungewöhnliche Sitzungen und unerwartete Aktivitäten der Database Connector API.
• SQL-Operationen, die nicht den etablierten Integrationsabläufen entsprechen.
• Unerwartete Dateien oder Änderungen am Dateisystem im Zusammenhang mit dem Mirth-Connect-Dienst.
• XSLT Transformer Steps, die ungewöhnliche oder nicht vertrauenswürdige XML-Daten verarbeiten.
• Channels, die XML-Batch-Verarbeitung mit aktiviertem XPath verwenden.
• Dienstausfälle oder eine Erschöpfung von Ressourcen im Zusammenhang mit der XML-Verarbeitung.
• Netzwerkpfade, über die der Mirth-Connect-Host unnötigerweise auf interne oder externe Ressourcen zugreifen kann.

Diese Punkte dienen der verhaltensbasierten Untersuchung und stellen keine vom Hersteller veröffentlichten Indicators of Compromise dar. Es wurden keine spezifischen bösartigen Domains, IP-Adressen, Dateihashes oder Exploit-Signaturen veröffentlicht.

Bevor Betreiber im Gesundheitswesen die Produktionsarchitektur ändern oder Integrationsfunktionen deaktivieren, sollten sie die möglichen betrieblichen Auswirkungen bewerten. Maßnahmen, die klinische Datenflüsse unterbrechen, können eigene Risiken für Sicherheit und Verfügbarkeit mit sich bringen.

Ein vermuteter Exploit sollte nach den etablierten Verfahren zur Reaktion auf Sicherheitsvorfälle behandelt und CISA zur Abgleichung mit anderen Fällen gemeldet werden. Bis eine validierte Abhilfe verfügbar ist, bleiben Zugriffsbeschränkungen, Segmentierung, das Prinzip der geringsten Rechte und eine lückenlose Überwachung die wichtigsten Schutzmaßnahmen.