CompuGroup Medical İtalya'nın eczane ve klinik yazılımlarında 16 açık: gömülü parolalar ve doğrulamasız güncelleme
İtalya'nın ulusal CSIRT'ü, CompuGroup Medical'ın eczane ve muayenehane yazılımlarında gömülü kimlik bilgisi, kimlik doğrulamasız SQL injection ve bütünlüğü doğrulanmayan güncelleme dahil 16 açık duyurdu. CVE kayıtları 9 Kasım'da NVD'ye girdi; üretici istismar kanıtı bulunmadığını ve düzeltmelerin otomatik dağıtıldığını açıkladı.
CVE-2026-112172, CVE-2026-118450, CVE-2026-118458
İtalya Ulusal Siber Güvenlik Ajansı'nın (ACN) CSIRT birimi, Alman sağlık yazılımı şirketi CompuGroup Medical'ın (CGM) İtalya'da eczane, diş kliniği ve muayenehanelerde kullanılan yazılımlarında 16 açık bulunduğunu 4 Kasım'da duyurdu. CVE kayıtları 9 Kasım'da NVD'ye girdi. Açıklar CVSS 4.0 ile 4,3 ile 8,1 arasında puanlanıyor. En ciddi olanlar şunlar: ürünlere gömülü yönetici hesapları (CVE-2026-118458), gömülü imzalama anahtarları (CVE-2026-118460), PHP senkronizasyon uç noktalarında kimlik doğrulaması gerektirmeyen SQL injection (CVE-2026-112172) ve bütünlüğü doğrulanmadan indirilen güncelleme paketleri (CVE-2026-118462, CVE-2026-118791).
CGM açıklamasında, NIS2'yi İtalya hukukuna aktaran 138/2024 sayılı kararname kapsamında koordineli bildirim yapıldığını belirtti. Şirkete göre düzeltmeler kamuya açıklamadan önce tüm etkilenen kurulumlara otomatik olarak dağıtıldı ve analizlerde istismar kanıtı bulunmadı. Açıklar CISA KEV kataloğunda yer almıyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| XDent | 4.4.0 | Üretici bildirimindeki liste |
| XMedical | 4.4.0 | Üretici bildirimindeki liste |
| Wingesfar | 2026.07a öncesi | Üretici bildirimindeki liste |
| Venere | 8.33.2 ve öncesi | Üretici bildirimindeki liste |
| Phronesis | 4.51.0.1 ve öncesi | Üretici bildirimindeki liste |
| Infantia | 6.09.1 ve öncesi | Üretici bildirimindeki liste |
| Profim | 6.09.1 ve öncesi | Üretici bildirimindeki liste |
ACN bildirimi CVE'leri ürünlerle tek tek eşleştirmiyor ve düzeltilmiş sürüm numarası vermiyor. Güncel sürüm bilgisi için ACN bildirimine ve CGM'nin destek kanalına bakılmalı.
Beni etkiliyor mu?
Bu ürünler ağırlıkla İtalya'daki eczane ve sağlık kuruluşlarında kullanılıyor. Kurumunuzda ya da İtalya'daki bir iştirakinizde CGM yazılımı varsa:
- Uygulamanın Yardım › Hakkında ekranından kurulu sürümü okuyup yukarıdaki tabloyla karşılaştırın.
- Windows istemcilerde Ayarlar › Uygulamalar › Yüklü uygulamalar listesinde yayımcısı CompuGroup Medical olan ürünleri ve sürümlerini not edin.
Ne yapılmalı?
- CGM'nin otomatik güncellemesinin kurulumlarınıza gerçekten ulaştığını doğrulayın. Ulaşmadıysa ACN'nin önerdiği gibi üreticiyle anlaşmalı destek kanalından güncelleme isteyin.
- Gömülü ve varsayılan kimlik bilgisi açıkları yüzünden, bu sistemlerin veritabanı ve senkronizasyon arayüzlerini internetten erişilemez tutun. Erişimi yalnızca gerekli iç ağ segmentleriyle sınırlayın.
- Güncelleme trafiğinin yalnızca üreticinin resmi adreslerine gittiğini ağ loglarından izleyin. Beklenmeyen bir güncelleme kaynağı görürseniz olayı inceleyin.
- Log dosyalarına kimlik bilgisi ve OAuth secret yazıldığı bildirildiği için (
CVE-2026-118467,CVE-2026-118798) eski logların kimlerle paylaşıldığını gözden geçirin. Gerekirse ilgili parolaları yenileyin. - Hasta verisi işleyen sistemlerde yapılacak güncellemeleri change management sürecinden geçirin ve güncelleme öncesinde yedek alın.
