Tre vulnerabilità ad alta gravità espongono dati e credenziali di NextGen Mirth Connect

CISA ha reso note tre vulnerabilità ad alta gravità in NextGen Healthcare Mirth Connect, una piattaforma di integrazione sanitaria utilizzata in tutto il mondo. Sono interessate tutte le versioni fino alla 4.7.1.

Le vulnerabilità comprendono una SQL injection autenticata e due falle di tipo XML External Entity, o XXE. A seconda del vettore d’attacco, lo sfruttamento potrebbe esporre dati sanitari, rivelare le credenziali dei sistemi connessi, creare file arbitrari o interrompere i servizi Mirth Connect.

L’ICS Medical Advisory pubblicato da CISA è stato pubblicato per la prima volta il 10 settembre 2026. Abhinav Agarwal ha segnalato le vulnerabilità all’agenzia.

CISA ha dichiarato che, al momento della pubblicazione dell’avviso, non risultavano attacchi pubblici noti mirati specificamente a queste vulnerabilità. Tuttavia, non è stata identificata alcuna versione corretta né una procedura di aggiornamento fornita dal produttore.

Tutte le versioni di Mirth Connect fino alla 4.7.1 sono interessate

Il prodotto interessato è NextGen Healthcare Mirth Connect v4.7.1 e precedenti, utilizzato in organizzazioni appartenenti al settore delle infrastrutture critiche Healthcare and Public Health. NextGen Healthcare ha sede negli Stati Uniti, ma il prodotto è distribuito a livello globale.

Mirth Connect trasferisce e trasforma informazioni tra sistemi sanitari. Questa posizione può dare alla piattaforma accesso a dati sensibili e alle credenziali necessarie per comunicare con applicazioni esterne.

Le tre vulnerabilità sono:

• CVE-2026-82583: SQL injection attraverso la Database Connector API.
• CVE-2026-78224: XXE injection nello XSLT Transformer Step.
• CVE-2026-82578: XXE injection durante l’elaborazione di batch XML quando XPath è abilitato.

Tutte e tre sono classificate come High secondo CVSS 3.1 e CVSS 4.0. La voce relativa al prodotto nel riepilogo di CISA riporta un punteggio base CVSS 3 pari a 8,3.

Non è stata resa nota alcuna release correttiva. Di conseguenza, le organizzazioni non possono presumere che il passaggio da una versione interessata a un’altra compresa nell’intervallo fino alla 4.7.1 risolva le vulnerabilità.

La Database Connector API consente di eseguire SQL arbitrario

La vulnerabilità con l’impatto funzionale più ampio è CVE-2026-82583, una SQL injection nella Database Connector API di Mirth Connect.

L’attaccante deve prima disporre di un account autenticato, ma sono sufficienti privilegi di basso livello. L’API vulnerabile può quindi essere abusata per eseguire istruzioni SQL arbitrarie nell’ambiente del database associato.

Uno sfruttamento riuscito potrebbe esporre le credenziali memorizzate per i sistemi connessi a Mirth Connect. A seconda dell’ambiente interessato e delle funzionalità disponibili attraverso la connessione al database, potrebbe inoltre consentire la scrittura di file arbitrari e attacchi di denial-of-service.

La vulnerabilità ha un punteggio CVSS 3.1 pari a 8,3, con il vettore:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H

La valutazione riflette un attacco basato sulla rete, di bassa complessità, che richiede pochi privilegi e nessuna interazione da parte dell’utente. L’impatto su riservatezza e disponibilità è elevato, mentre quello sull’integrità è classificato come basso.

Il punteggio CVSS 4.0 è pari a 7,2, con il vettore:

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:H/SC:N/SI:N/SA:N

Il requisito di autenticazione limita chi può avviare l’attacco, ma non rende la vulnerabilità trascurabile. Un account rubato, un ruolo assegnato in modo improprio o un insider malevolo potrebbero fornire l’accesso iniziale necessario per raggiungere l’API vulnerabile.

Due percorsi di elaborazione XML consentono XXE injection

Le vulnerabilità rimanenti derivano dall’elaborazione non sicura di entità esterne in XML. Gli attacchi XXE sfruttano funzionalità dei parser XML in grado di risolvere riferimenti a entità controllati dall’attaccante, recuperando potenzialmente informazioni accessibili all’applicazione o consumando risorse fino a rendere indisponibile un servizio.

CVE-2026-78224 interessa lo XSLT Transformer Step. Mirth Connect crea una TransformerFactory senza abilitare i controlli di sicurezza necessari a limitare il comportamento delle entità esterne.

Un attaccante può sfruttare questa configurazione per recuperare dati o causare un denial-of-service. Secondo la valutazione pubblicata, non sono richiesti né privilegi né interazione da parte dell’utente.

La vulnerabilità ha un punteggio CVSS 3.1 pari a 8,2:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L

Il punteggio CVSS 4.0 è pari a 8,8:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N

CVE-2026-82578 interessa un flusso di lavoro XML distinto. Quando è abilitata l’elaborazione di batch XML e viene selezionata l’opzione XPath, l’input batch grezzo passa attraverso una configurazione predefinita di XPath/JAXP priva delle necessarie restrizioni sulle entità.

Questo comportamento consente a un XML malevolo di attivare l’elaborazione di entità esterne. Le conseguenze documentate includono l’esfiltrazione di dati e, secondo la descrizione della vulnerabilità, un potenziale comportamento di denial-of-service.

CVE-2026-82578 ha un punteggio CVSS 3.1 pari a 7,5:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Il punteggio CVSS 4.0 è pari a 8,7:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Entrambe le vulnerabilità XXE sono raggiungibili da remoto e sfruttabili con un attacco di bassa complessità che, secondo i vettori pubblicati, non richiede né autenticazione né interazione da parte dell’utente. La principale conseguenza per la sicurezza è la perdita di riservatezza.

Le integrazioni sanitarie ampliano il potenziale impatto

Mirth Connect può trovarsi tra applicazioni cliniche, database e altri servizi connessi. Una compromissione può quindi avere conseguenze che vanno oltre il solo server di integrazione.

La SQL injection potrebbe rivelare le credenziali utilizzate da Mirth Connect per accedere a sistemi esterni. Tali credenziali potrebbero diventare un canale verso ulteriori risorse, anche se l’effettiva portata dipende dai privilegi locali e dall’architettura di rete.

Le vulnerabilità XXE potrebbero esporre i dati accessibili al processo interessato. Potrebbero inoltre interferire con le funzioni di trasformazione dei messaggi o di elaborazione dei batch, interrompendo lo scambio di informazioni tra applicazioni sanitarie.

Le conseguenze concrete variano in base alla configurazione. Tra i fattori rilevanti rientrano la raggiungibilità delle interfacce vulnerabili, le funzionalità di Mirth Connect abilitate, i permessi assegnati al servizio e al database e l’eventuale separazione della piattaforma dalle reti cliniche e aziendali.

Al momento della pubblicazione non erano stati identificati exploit pubblici, prove di attacchi in corso o indicatori di compromissione. Per queste CVE non sono state indicate né una data di inserimento nel catalogo CISA Known Exploited Vulnerabilities né una scadenza per la remediation.

I responsabili della difesa devono ridurre l’esposizione in attesa di una correzione

Poiché non sono state rese note né una release corretta né una procedura di aggiornamento specifica, gli operatori dovrebbero innanzitutto individuare ogni istanza di Mirth Connect e verificarne la versione. Qualsiasi installazione che esegua la 4.7.1 o una versione precedente deve essere considerata interessata.

CISA raccomanda di mantenere Mirth Connect e servizi analoghi dei sistemi di controllo fuori da internet pubblico. Firewall e segmentazione di rete dovrebbero separare l’infrastruttura di integrazione sanitaria dalle reti aziendali e limitare le connessioni ai sistemi autorizzati.

L’accesso amministrativo remoto dovrebbe avvenire tramite una VPN aggiornata o un altro meccanismo di accesso protetto. Una VPN da sola non è sufficiente se il relativo software è vulnerabile o se l’endpoint di connessione è già stato compromesso.

Le organizzazioni dovrebbero inoltre verificare:

• Gli account in grado di raggiungere la Database Connector API, in particolare gli utenti con pochi privilegi ma con accessi non necessari.
• I tentativi di autenticazione falliti, le sessioni insolite e le attività inattese sulla Database Connector.
• Le operazioni SQL non coerenti con i flussi di integrazione consolidati.
• I file inattesi o le modifiche al filesystem associate al servizio Mirth Connect.
• Gli XSLT Transformer Step che ricevono XML insoliti o non attendibili.
• I canali che utilizzano l’elaborazione di batch XML con XPath abilitato.
• I malfunzionamenti dei servizi o l’esaurimento delle risorse associati all’elaborazione XML.
• I percorsi di rete che consentono all’host Mirth Connect di raggiungere risorse interne o esterne non necessarie.

Si tratta di elementi utili per le indagini sul comportamento, non di indicatori di compromissione forniti dal produttore. Non sono stati pubblicati domini malevoli, indirizzi IP, hash di file o firme di exploit specifici.

Prima di modificare l’architettura di produzione o disabilitare le funzionalità di integrazione, gli operatori sanitari dovrebbero valutare il possibile impatto operativo. I controlli che interrompono i flussi di dati clinici possono introdurre a loro volta rischi per la sicurezza e la disponibilità.

I casi di sospetto sfruttamento dovrebbero essere gestiti secondo le procedure di incident response in vigore e segnalati a CISA, così da poterli correlare con altri episodi. Fino alla disponibilità di una remediation convalidata, le principali misure di protezione restano la limitazione degli accessi, la segmentazione, il principio del privilegio minimo e un monitoraggio attento.