Trois vulnérabilités de gravité élevée exposent les données et les identifiants de NextGen Mirth Connect

CISA a dévoilé trois vulnérabilités de gravité élevée dans NextGen Healthcare Mirth Connect, une plateforme d’intégration de données de santé déployée dans le monde entier. Toutes les versions jusqu’à la version 4.7.1 sont concernées.

Ces failles comprennent une vulnérabilité d’injection SQL nécessitant une authentification et deux faiblesses de type XML External Entity, ou XXE. Selon le scénario d’attaque, leur exploitation peut exposer des données de santé, révéler les identifiants de systèmes connectés, créer des fichiers arbitraires ou perturber les services Mirth Connect.

L’alerte ICS Medical publiée par CISA a été publiée pour la première fois le 10 septembre 2026. Abhinav Agarwal a signalé les vulnérabilités à l’agence.

CISA a indiqué qu’aucune exploitation publique connue visant spécifiquement ces vulnérabilités n’avait été signalée au moment de la publication de l’alerte. Toutefois, aucune version corrigée ni procédure de mise à niveau fournie par l’éditeur n’a été identifiée.

Toutes les versions de Mirth Connect jusqu’à la 4.7.1 sont concernées

Le produit concerné est NextGen Healthcare Mirth Connect v4.7.1 et versions antérieures, déployé notamment dans le secteur des infrastructures critiques de la santé publique et des soins de santé. NextGen Healthcare est basée aux États-Unis, mais le produit est déployé dans le monde entier.

Mirth Connect transfère et transforme des informations entre les systèmes de santé. À ce titre, la plateforme peut accéder à des données sensibles ainsi qu’aux identifiants nécessaires pour communiquer avec des applications externes.

Les trois vulnérabilités sont les suivantes :

• CVE-2026-82583 : injection SQL via la Database Connector API.
• CVE-2026-78224 : injection XXE dans le XSLT Transformer Step.
• CVE-2026-82578 : injection XXE lors du traitement de lots XML lorsque XPath est activé.

Toutes trois sont évaluées comme présentant un niveau de gravité élevé selon CVSS 3.1 comme selon CVSS 4.0. La fiche produit du récapitulatif de CISA affiche un score de base CVSS 3 de 8,3.

Aucune version corrective n’a été annoncée. Les organisations ne peuvent donc pas considérer que le passage d’une version concernée à une autre version comprise dans la plage 4.7.1 et antérieure suffira à corriger ces faiblesses.

La Database Connector API permet d’exécuter des requêtes SQL arbitraires

La vulnérabilité la plus large sur le plan fonctionnel est CVE-2026-82583, une vulnérabilité d’injection SQL dans la Database Connector API de Mirth Connect.

L’attaquant doit d’abord disposer d’un compte authentifié, mais des privilèges limités suffisent. L’API vulnérable peut ensuite être détournée pour exécuter des instructions SQL arbitraires sur l’environnement de base de données associé.

Une exploitation réussie peut exposer les identifiants stockés pour les systèmes connectés à Mirth Connect. Elle peut également permettre d’écrire des fichiers arbitraires et de lancer des attaques par déni de service, selon l’environnement concerné et les capacités accessibles via la connexion à la base de données.

La vulnérabilité présente un score CVSS 3.1 de 8,3, avec le vecteur suivant :

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H

Cette évaluation correspond à une attaque menée via le réseau, de faible complexité, nécessitant de faibles privilèges et aucune interaction de l’utilisateur. Les impacts sur la confidentialité et la disponibilité sont élevés, tandis que l’impact sur l’intégrité est jugé faible.

Son score CVSS 4.0 est de 7,2, selon le vecteur suivant :

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:H/SC:N/SI:N/SA:N

L’exigence d’une authentification limite les personnes pouvant lancer l’attaque, mais elle ne rend pas la faille négligeable. Un compte dérobé, un rôle attribué de manière inappropriée ou un acteur interne malveillant peut fournir l’accès initial nécessaire pour atteindre l’API vulnérable.

Deux chemins de traitement XML permettent des injections XXE

Les autres vulnérabilités résultent d’un traitement non sécurisé des entités externes en XML. Les attaques XXE exploitent des fonctions de l’analyseur XML capables de résoudre des références d’entités contrôlées par l’attaquant, ce qui peut permettre de récupérer des informations accessibles à l’application ou de consommer des ressources jusqu’à rendre un service indisponible.

CVE-2026-78224 concerne le XSLT Transformer Step. Mirth Connect crée un TransformerFactory sans activer les contrôles de sécurité nécessaires pour restreindre le comportement des entités externes.

Un attaquant peut exploiter cette configuration pour récupérer des données ou provoquer un déni de service. Selon l’évaluation publiée, aucun privilège ni aucune interaction de l’utilisateur ne sont nécessaires.

La vulnérabilité présente un score CVSS 3.1 de 8,2 :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L

Son score CVSS 4.0 est de 8,8 :

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N

CVE-2026-82578 concerne un autre flux de traitement XML. Lorsque le traitement de lots XML est activé et que l’option XPath est sélectionnée, les données brutes du lot passent par une configuration XPath/JAXP par défaut qui n’impose pas les restrictions nécessaires sur les entités.

Ce comportement permet à un fichier XML malveillant de déclencher le traitement d’entités externes. Les conséquences documentées comprennent l’exfiltration de données et, selon la description de la vulnérabilité, un éventuel déni de service.

CVE-2026-82578 présente un score CVSS 3.1 de 7,5 :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Son score CVSS 4.0 est de 8,7 :

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Les deux failles XXE sont accessibles à distance et présentent des scénarios d’attaque de faible complexité ne nécessitant ni authentification ni interaction de l’utilisateur selon les vecteurs publiés. Leur principale conséquence de sécurité est une perte de confidentialité.

Les intégrations de santé amplifient l’impact potentiel

Mirth Connect peut se trouver au cœur des échanges entre des applications cliniques, des bases de données et d’autres services connectés. Une compromission peut donc toucher bien plus que le serveur d’intégration lui-même.

La vulnérabilité d’injection SQL peut révéler les identifiants utilisés par Mirth Connect pour accéder à des systèmes externes. Ces identifiants peuvent servir de passerelle vers d’autres ressources, même si la portée réelle dépend des privilèges locaux et de l’architecture réseau.

Les vulnérabilités XXE peuvent exposer les données accessibles au processus concerné. Elles peuvent également perturber les fonctions de transformation des messages ou de traitement des lots, interrompant ainsi les échanges d’informations entre applications de santé.

Les conséquences concrètes varient selon le déploiement. Les facteurs à prendre en compte comprennent l’accessibilité des interfaces vulnérables, les fonctionnalités Mirth Connect activées, les autorisations dont disposent le service et la base de données, ainsi que l’isolation de la plateforme par rapport aux réseaux cliniques et métiers.

Aucun exploit public, aucun signe d’attaque active ni aucun indicateur de compromission n’a été identifié au moment de la publication. CISA n’a communiqué aucune date d’ajout à son catalogue Known Exploited Vulnerabilities ni aucune échéance de remédiation pour ces CVE.

Les défenseurs doivent réduire l’exposition en attendant un correctif

Puisqu’aucune version corrigée ni procédure de mise à niveau précise n’a été annoncée, les opérateurs doivent commencer par recenser toutes les instances Mirth Connect et vérifier leur version. Tout déploiement utilisant la version 4.7.1 ou une version antérieure doit être considéré comme concerné.

CISA recommande de ne pas exposer Mirth Connect ni les services comparables de systèmes de contrôle à Internet. Les pare-feu et la segmentation réseau doivent isoler l’infrastructure d’intégration de données de santé des réseaux métiers et limiter les connexions aux systèmes autorisés.

L’accès administratif à distance doit passer par un VPN maintenu à jour ou par un autre mécanisme d’accès sécurisé. Un VPN ne suffit pas à lui seul si son logiciel est vulnérable ou si le terminal utilisé pour se connecter a déjà été compromis.

Les organisations doivent également examiner :

• Les comptes capables d’accéder à la Database Connector API, en particulier les utilisateurs disposant de faibles privilèges mais d’un accès inutile.
• Les échecs d’authentification, les sessions inhabituelles et les activités inattendues de la Database Connector.
• Les opérations SQL qui ne correspondent pas aux flux d’intégration habituels.
• Les fichiers ou modifications inattendus du système de fichiers associés au service Mirth Connect.
• Les XSLT Transformer Steps recevant des fichiers XML inhabituels ou non fiables.
• Les canaux utilisant le traitement de lots XML avec XPath activé.
• Les défaillances de service ou l’épuisement des ressources associés au traitement XML.
• Les chemins réseau permettant à l’hôte Mirth Connect d’accéder à des ressources internes ou externes inutiles.

Il s’agit de points d’investigation comportementaux, et non d’indicateurs de compromission fournis par l’éditeur. Aucun domaine, aucune adresse IP, aucun hachage de fichier ni aucune signature d’exploit spécifique n’a été publié.

Avant de modifier l’architecture de production ou de désactiver des fonctionnalités d’intégration, les opérateurs de santé doivent évaluer les conséquences potentielles sur l’activité. Les mesures qui interrompent les flux de données cliniques peuvent introduire leurs propres risques pour la sécurité et la disponibilité.

Toute exploitation présumée doit être traitée conformément aux procédures établies de réponse aux incidents et signalée à CISA afin de permettre son rapprochement avec d’autres cas. Dans l’attente d’une mesure corrective validée, la restriction des accès, la segmentation, le principe du moindre privilège et une surveillance étroite restent les principales protections.