OpenEMR には、患者 API ソートパラメータにおける SQL インジェクションの脆弱性が存在します

このSQLインジェクション脆弱性を悪用されると、攻撃者はデータベースに不正にアクセスし、機密情報を盗み出す可能性があります。具体的には、患者の医療記録（PHI）、ユーザー名、パスワードなどの情報が漏洩するリスクがあります。さらに、攻撃者はデータベースの構造を操作したり、データを改ざんしたり、システムを停止させたりする可能性があります。この脆弱性は、OpenEMRのAPIアクセス権を持つ認証済みユーザーが攻撃の対象となるため、広範囲に影響を及ぼす可能性があります。類似のSQLインジェクション攻撃は、他の医療システムでも確認されており、機密情報の漏洩やシステムへの不正アクセスにつながる可能性があります。

Healthcare providers and organizations utilizing OpenEMR, particularly those relying on the Patient REST API for data access and integration, are at significant risk. Shared hosting environments where multiple OpenEMR instances reside on the same server are also vulnerable, as a compromise of one instance could potentially impact others.

• linux / server:

journalctl -u openemr | grep -i "SQL injection"

• generic web:

curl -I 'https://<openemr_host>/api/patient?_sort='; # Check for unusual response headers or errors

• database (mysql):

mysql -u <openemr_user> -p -e "SHOW TABLES LIKE 'patient%';"

1. 2026-02-25Disclosure

   disclosure

2. 2026-02-25Patch

   patch

1. 予約済み2026-01-27
2. 公開日2026-02-25
3. 更新日2026-02-26
4. EPSS 更新日2026-03-23

OpenEMRのバージョンを8.0.0以降にアップグレードすることが最も効果的な対策です。アップグレードが困難な場合は、APIエンドポイントへのアクセスを制限し、入力検証を強化することでリスクを軽減できます。WAF（Web Application Firewall）を導入し、SQLインジェクション攻撃を検知・防御するルールを設定することも有効です。また、データベースのアクセス制御を強化し、不要な権限を削除することも重要です。アップグレード後、APIエンドポイントに対してSQLインジェクション攻撃を試みることで、修正が正しく適用されていることを確認してください。