概要
オープンソースの電子カルテおよび医療業務管理アプリケーションであるOpenEMRの旧バージョンにおいて、アクセス制御の不備（Broken Access Control）に関する脆弱性（CVE-2026-25127）が報告されました。この脆弱性は、サーバーがユーザーの権限を適切に検証しないために発生し、認証されていないユーザーが認証済みユーザーの情報を閲覧できる可能性があります。
影響範囲
この脆弱性の影響を受けるのは、OpenEMRのバージョン8.0.0より前のすべてのバージョンです。バージョン8.0.0でこの問題は修正されています。
想定される影響
本脆弱性が悪用された場合、認証されていない攻撃者が、システム内の認証済みユーザーに関する情報を不正に閲覧できる可能性があります。これにより、機密情報の漏洩やプライバシー侵害につながる恐れがあります。特に、医療情報システムであるOpenEMRにおいては、患者情報などの機密データが漏洩するリスクが懸念されます。
攻撃成立条件・悪用状況
攻撃は、OpenEMRのアクセス制御の不備を突くことで成立すると考えられます。具体的には、Care Coordination Moduleに関連する部分で権限検証が不十分であると報告されています。
現時点では、この脆弱性が実際に悪用されたという具体的な報告は確認されていません。
推奨対策（優先度付き）
-
最優先：OpenEMRのアップデート
この脆弱性はOpenEMRバージョン8.0.0で修正されています。影響を受けるシステムをご利用の場合は、速やかにバージョン8.0.0以降へアップデートすることを強く推奨します。アップデートの際は、事前に十分なテストとバックアップを実施してください。
一時的な緩和策
現時点では、根本的な解決策はバージョンアップのみとされています。バージョンアップがすぐに実施できない場合でも、外部からのアクセス制限を強化する、不必要なユーザーアカウントを無効化するなどの対策を検討してください。
確認方法
ご利用中のOpenEMRのバージョンを確認し、それが8.0.0より前のバージョンであるかどうかを確認してください。通常、OpenEMRの管理画面やシステム情報ページでバージョン情報を確認できます。
参考情報
- CVE-2026-25127 詳細情報: https://cvefeed.io/vuln/detail/CVE-2026-25127