CVEウォッチ

CVE-2026-25124: OpenEMRにおけるアクセス制御の不備により機密情報漏洩の可能性

February 25, 2026 ·

概要

OpenEMRのバージョン8.0.0未満において、アクセス制御の不備が存在することが報告されています。この脆弱性（CVE-2026-25124）は、低権限のユーザーが機密性の高い患者データやユーザーデータを含むメッセージリスト全体をエクスポートできる可能性があるものです。

影響範囲

  • 影響を受ける製品: OpenEMR
  • 影響を受けるバージョン: バージョン8.0.0より前のすべてのバージョン

想定される影響

低権限のユーザー（例：受付担当者など）が、本来アクセス権限を持たないはずの患者情報やユーザー情報を含むメッセージリスト全体をCSV形式でエクスポートできてしまう可能性があります。これにより、機密性の高い個人情報が意図せず漏洩するリスクが生じます。

攻撃成立条件・悪用状況

攻撃成立条件

  • OpenEMRのバージョンが8.0.0未満であること。
  • システム内に低権限のユーザーアカウントが存在すること。
  • 脆弱性のあるレポートエクスポート機能（message_list.php）が利用可能な状態であること。
  • CSRFトークンによる検証は行われますが、他の手段でトークンが取得された場合、不正なデータアクセスを防ぐことはできないと報告されています。

悪用状況

現時点では、この脆弱性が実際に悪用されたという具体的な報告は確認されていません。

推奨対策

最優先で実施すべき対策

  • OpenEMRのアップデート: 脆弱性が修正されたバージョン8.0.0以降へ、速やかにアップデートしてください。

中長期的な対策

  • アクセス権限の見直し: 各ユーザーの職務に応じた最小限のアクセス権限を付与する「最小権限の原則」を徹底し、定期的に見直してください。
  • セキュリティ監視の強化: システムログの監視を強化し、不審なデータエクスポート操作やアクセスパターンがないか確認してください。

一時的な緩和策

本脆弱性はアクセス制御の根本的な不備に起因するため、一時的な緩和策で完全にリスクを排除することは困難です。しかし、リスクを軽減するために以下の点を検討してください。

  • 不必要なユーザーアカウントの削除、または権限の厳格化。
  • OpenEMRへのアクセス元IPアドレスを制限するなどのネットワークレベルでの制御（可能であれば）。

確認方法

現在利用しているOpenEMRのバージョンを確認してください。通常、OpenEMRの管理画面や設定ファイルでバージョン情報を確認できます。バージョンが8.0.0未満の場合は、本脆弱性の影響を受ける可能性があります。

参考情報