OpenEMR'de kritik açık zinciri: düşük yetkili kullanıcı hasta verisine ve sunucuya uzanabiliyor
Açık kaynak hasta kayıt sistemi OpenEMR için 8 Kasım'da yayımlanan CVE'ler arasında CVSS 9.9'a varan SQL injection, path traversal ve token tekrar kullanımı açıkları var. Düzeltmeler 8.3.0 ve 8.4.0 sürümlerinde.
CVE-2026-124469, CVE-2026-124450, CVE-2026-124490
Klinik ve hastanelerde elektronik hasta kaydı ve randevu yönetimi için kullanılan açık kaynak OpenEMR'de, 8 Kasım'da bir dizi kritik açık CVE kimliği aldı. En yüksek puanlılar CVSS v3.1'e göre 9.9; çoğu yalnızca düşük yetkili bir hesapla istismar edilebiliyor. Açıklar 8.3.0'da, token tekrar kullanımı sorunu ise 8.4.0'da kapatıldı.
Bildirimlere göre Fee Sheet ilaç stoğu sorgusundaki bir SQL injection (CVE-2026-124469), hasta verilerinin ve kullanıcı parola hash'lerinin okunmasına yol açabiliyor. Fax/SMS modülündeki iki ayrı path traversal açığı (CVE-2026-124450, CVE-2026-124490), veritabanı bağlantı bilgilerini içeren yapılandırma dosyasının okunmasına ve web kullanıcısı olarak dosya yazılarak uzaktan kod çalıştırmaya imkân veriyor. Hasta portalı tek kullanımlık giriş token'larındaki CVE-2026-124445 ise ele geçirilmiş token'ın yeniden kullanılmasına ve PIN'in deneme yanılmayla bulunmasına izin veriyor. Açıklar şu an KEV'de değil ve istismar raporu yok; ancak hedef sistemler korunan sağlık verisi (PHI) tutuyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| OpenEMR (CVE-2026-124469, CVE-2026-124450, CVE-2026-124490) | 8.3.0 öncesi | 8.3.0 |
| OpenEMR (CVE-2026-124445) | 7.0.1 – 8.4.0 öncesi | 8.4.0 |
Aynı tarihte daha düşük puanlı başka OpenEMR açıkları da yayımlandı; tam liste için üretici bildirimindeki listeye bakın.
Beni etkiliyor mu?
Kurulu sürümü yönetici arayüzünde Yönetim › Hakkında (About) ekranından ya da sunucuda salt okunur olarak şu dosyadan görebilirsiniz:
grep -E "v_major|v_minor|v_patch" /var/www/openemr/version.phpYol kurulumunuza göre değişebilir. Fax/SMS modülünün (oe-module-faxsms) etkin olup olmadığını Modüller › Modülleri Yönet ekranından kontrol edin. Hasta portalı internete açıksa CVE-2026-124445 sizin için öncelikli.
Ne yapılmalı?
- OpenEMR'i 8.4.0 sürümüne güncelleyin; bu sürüm tüm açıkları kapsıyor. Sağlık sistemlerinde güncellemeyi yedek alıp bakım penceresinde, change management kaydıyla yapın.
- Hemen güncelleyemiyorsanız geçici önlem olarak kullanılmayan Fax/SMS modülünü devre dışı bırakmayı ve hasta portalını yalnızca gerekli ağlara açmayı değerlendirin.
- Düşük yetkili hesapları gözden geçirin; kullanılmayanları kapatın.
- Web sunucusu loglarında disposeDocument çağrılarını, web dizininde beklenmeyen yeni PHP dosyalarını ve portalda aynı token'la tekrarlanan girişleri inceleyin.
- Şüpheli bir iz bulursanız veritabanı parolasını ve kullanıcı parolalarını yenileyip olayı KVKK ve sağlık mevzuatı yükümlülükleri açısından değerlendirin.
