検索NeSC を見る
脆弱性・CVE速報深刻度: 高

OpenEMR の症候サーベイランス機能に SQL インジェクション（CVE-2026-49142、CVSS v3.1 8.8／v4.0 8.7）: 臨床担当者権限でパスワードハッシュの取得と管理者アカウントの乗っ取りのおそれ、8.5.0 で修正

World Security 編集部
目次（6）

CVE-2026-49142

NVD は 2026-10-29 に、オープンソースの電子カルテ・診療管理システム OpenEMR の脆弱性 CVE-2026-49142 を登録しました。8.5.0 より前の版の症候サーベイランス（Syndromic Surveillance）モジュールに、認証が必要な SQL インジェクション（CWE-89）があります。登録元（CNA）は VulnCheck で、CVSS は v3.1 が 8.8（High）、v4.0 が 8.7（High）です。修正は OpenEMR 8.5.0 に含まれます。

何が起きるか

  • 症候サーベイランスの検索画面（syndromicsurveillance/index）は、POST パラメーター form_icd_codes[] の値を、引用符で囲まない数値用の IN() 句にそのまま連結します。
  • アプリケーション側の escape 関数は引用符とバックスラッシュしか処理しないため、引用符で囲まれない位置では SQL の挿入を防げません。
  • 必要な権限は「臨床担当者（Clinician）」レベルのログインです。この権限で、データベースの内容を読み書きでき、エラーを利用した方式で bcrypt のパスワードハッシュを取り出せるとされています。さらに複数文の実行（stacked queries）で任意の利用者のパスワードを書き換えると、管理者アカウントの乗っ取りに至ります。
  • CVSS v3.1 のベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。ネットワーク越しで、攻撃条件は易しく、利用者の操作は不要です。
  • 電子カルテには患者の診療情報が入っているため、データベース全体の読み取りは患者情報の漏えいに直結します。本記事では攻撃の具体的な手順は扱いません。

修正の状況

  • OpenEMR 8.5.0（2026-10-27 公開）で修正済みです。参照先には、修正のコミットとプルリクエスト（#14329）、リリースページ、プロジェクトのセキュリティ勧告（GHSA-w99c-jwcm-24hh）があります。
  • 影響を受ける版の下限は示されていません。8.5.0 より前の版は対象として扱うのが安全です。
  • 回避策の公式な案内は確認できていません。

数値と出典（2026-11-02 時点）

CVE箇所種類必要な権限CVSS v3.1CVSS v4.0CWEEPSS
CVE-2026-49142症候サーベイランス（form_icd_codes[]）SQL インジェクション臨床担当者8.88.7CWE-890.36%（11/1）
  • NVD の状態は Awaiting Analysis で、NVD 自身の評価はまだありません。CVSS は VulnCheck（CNA）の値です。
  • EPSS（FIRST）は 2026-11-01 の算出で 0.36%（パーセンタイル 29%）です。
  • KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得、2026-10-30 版・1766 件）。実際の攻撃での悪用は確認していません。

severity を high とした理由

CVSS は v3.1 が 8.8 で、機密性・完全性・可用性のすべてが「高」、攻撃条件も易しく、修正前の版では管理者アカウントの乗っ取りまで到達できます。一方で、利用にはログイン（臨床担当者権限）が必要で、認証不要ではありません。悪用の確認・KEV はなく、EPSS も 0.36% と低く、修正版（8.5.0）が公開済みです。このため critical ではなく high としています。診療情報を扱うシステムであり、臨床担当者のアカウントが多い環境では実質的なリスクは大きくなります。

対応として考えられること

  1. OpenEMR を自社・自院で運用していないか確認し、版を調べます。
  2. 8.5.0 より前であれば、8.5.0 以降に更新します。更新前に、データベースとファイルのバックアップを取ります。
  3. 更新までの間、症候サーベイランス機能を使っていなければ、該当モジュールへのアクセスを制限します（推定）。
  4. 臨床担当者など、ログインできるアカウントの棚卸しをし、不要なアカウントの停止と、パスワード・多要素認証の見直しを行います（推定）。
  5. Web サーバー・アプリケーションのログで、syndromicsurveillance/index への異常な POST（form_icd_codes[] に数値以外の値が含まれるもの）や、想定外のパスワード変更がないか確認します（推定）。
  6. 侵害の疑いがある場合は、パスワードの再設定と、管理者アカウントの変更履歴の確認を行います（推定）。

未確認の点

  • 実際の攻撃での悪用は確認していません。
  • 影響を受ける版の下限と、更新前に使える公式な回避策は確認できていません。
  • NVD 自身の評価は未実施（Awaiting Analysis）です。CVSS は CNA の値です。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事