--- title: "OpenEMR の症候サーベイランス機能に SQL インジェクション（CVE-2026-49142、CVSS v3.1 8.8／v4.0 8.7）: 臨床担当者権限でパスワードハッシュの取得と管理者アカウントの乗っ取りのおそれ、8.5.0 で修正" url: https://n-t-p.io/worldsecurity/articles/openemr-syndromic-surveillance-sql-injection-form-icd-codes-account-takeover-before-8-5-0-cve-2026-49142 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 高 cve: CVE-2026-49142 --- # OpenEMR の症候サーベイランス機能に SQL インジェクション（CVE-2026-49142、CVSS v3.1 8.8／v4.0 8.7）: 臨床担当者権限でパスワードハッシュの取得と管理者アカウントの乗っ取りのおそれ、8.5.0 で修正 > **TL;DR:** OpenEMR 8.5.0 より前の症候サーベイランス機能に SQL インジェクション（CVE-2026-49142）。臨床担当者権限のログインで、パスワードハッシュの取得と任意利用者のパスワード書き換えにより管理者アカウントを乗っ取れるとされる。CVSS v3.1 8.8／v4.0 8.7。EPSS 0.36%、KEV なし。8.5.0 で修正済み。 **要点** - OpenEMR 8.5.0 より前の症候サーベイランスで、form_icd_codes[] が引用符なしの IN() 句に連結される（CWE-89、CVE-2026-49142） - 臨床担当者権限で DB の内容を読み書きでき、パスワードハッシュの取得と複数文の実行による管理者アカウントの乗っ取りに至るとされる - CVSS は v3.1 が 8.8、v4.0 が 8.7（VulnCheck＝CNA の値）。NVD は評価待ち（Awaiting Analysis） - EPSS は 0.36%（11/1）、KEV なし。実際の悪用は未確認。修正は 8.5.0（2026-10-27 公開） - 対策は、8.5.0 以降への更新、アカウントの棚卸しと多要素認証、該当エンドポイントのログ確認（一部は推定） NVD は 2026-10-29 に、オープンソースの電子カルテ・診療管理システム OpenEMR の脆弱性 CVE-2026-49142 を登録しました。8.5.0 より前の版の症候サーベイランス（Syndromic Surveillance）モジュールに、認証が必要な SQL インジェクション（CWE-89）があります。登録元（CNA）は VulnCheck で、CVSS は v3.1 が 8.8（High）、v4.0 が 8.7（High）です。修正は OpenEMR 8.5.0 に含まれます。 ## 何が起きるか - 症候サーベイランスの検索画面（syndromicsurveillance/index）は、POST パラメーター form_icd_codes[] の値を、引用符で囲まない数値用の IN() 句にそのまま連結します。 - アプリケーション側の escape 関数は引用符とバックスラッシュしか処理しないため、引用符で囲まれない位置では SQL の挿入を防げません。 - 必要な権限は「臨床担当者（Clinician）」レベルのログインです。この権限で、データベースの内容を読み書きでき、エラーを利用した方式で bcrypt のパスワードハッシュを取り出せるとされています。さらに複数文の実行（stacked queries）で任意の利用者のパスワードを書き換えると、管理者アカウントの乗っ取りに至ります。 - CVSS v3.1 のベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。ネットワーク越しで、攻撃条件は易しく、利用者の操作は不要です。 - 電子カルテには患者の診療情報が入っているため、データベース全体の読み取りは患者情報の漏えいに直結します。本記事では攻撃の具体的な手順は扱いません。 ## 修正の状況 - OpenEMR 8.5.0（2026-10-27 公開）で修正済みです。参照先には、修正のコミットとプルリクエスト（#14329）、リリースページ、プロジェクトのセキュリティ勧告（GHSA-w99c-jwcm-24hh）があります。 - 影響を受ける版の下限は示されていません。8.5.0 より前の版は対象として扱うのが安全です。 - 回避策の公式な案内は確認できていません。 ## 数値と出典（2026-11-02 時点） | CVE | 箇所 | 種類 | 必要な権限 | CVSS v3.1 | CVSS v4.0 | CWE | EPSS | |---|---|---|---|---|---|---|---| | CVE-2026-49142 | 症候サーベイランス（form_icd_codes[]） | SQL インジェクション | 臨床担当者 | 8.8 | 8.7 | CWE-89 | 0.36%（11/1） | - NVD の状態は Awaiting Analysis で、NVD 自身の評価はまだありません。CVSS は VulnCheck（CNA）の値です。 - EPSS（FIRST）は 2026-11-01 の算出で 0.36%（パーセンタイル 29%）です。 - KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得、2026-10-30 版・1766 件）。実際の攻撃での悪用は確認していません。 ## severity を high とした理由 CVSS は v3.1 が 8.8 で、機密性・完全性・可用性のすべてが「高」、攻撃条件も易しく、修正前の版では管理者アカウントの乗っ取りまで到達できます。一方で、利用にはログイン（臨床担当者権限）が必要で、認証不要ではありません。悪用の確認・KEV はなく、EPSS も 0.36% と低く、修正版（8.5.0）が公開済みです。このため critical ではなく high としています。診療情報を扱うシステムであり、臨床担当者のアカウントが多い環境では実質的なリスクは大きくなります。 ## 対応として考えられること 1. OpenEMR を自社・自院で運用していないか確認し、版を調べます。 2. 8.5.0 より前であれば、8.5.0 以降に更新します。更新前に、データベースとファイルのバックアップを取ります。 3. 更新までの間、症候サーベイランス機能を使っていなければ、該当モジュールへのアクセスを制限します（推定）。 4. 臨床担当者など、ログインできるアカウントの棚卸しをし、不要なアカウントの停止と、パスワード・多要素認証の見直しを行います（推定）。 5. Web サーバー・アプリケーションのログで、syndromicsurveillance/index への異常な POST（form_icd_codes[] に数値以外の値が含まれるもの）や、想定外のパスワード変更がないか確認します（推定）。 6. 侵害の疑いがある場合は、パスワードの再設定と、管理者アカウントの変更履歴の確認を行います（推定）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - 影響を受ける版の下限と、更新前に使える公式な回避策は確認できていません。 - NVD 自身の評価は未実施（Awaiting Analysis）です。CVSS は CNA の値です。 ## 出典 - [NVD CVE-2026-49142](https://nvd.nist.gov/vuln/detail/CVE-2026-49142) — NIST NVD - [VulnCheck 勧告（OpenEMR form_icd_codes SQL インジェクション）](https://www.vulncheck.com/advisories/openemr-before-sql-injection-via-form-icd-codes) — VulnCheck - [OpenEMR セキュリティ勧告 GHSA-w99c-jwcm-24hh](https://github.com/openemr/openemr/security/advisories/GHSA-w99c-jwcm-24hh) — OpenEMR（GitHub） - [OpenEMR 8.5.0 リリース](https://github.com/openemr/openemr/releases/tag/v8_5_0) — OpenEMR（GitHub） - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-49142) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/openemr-syndromic-surveillance-sql-injection-form-icd-codes-account-takeover-before-8-5-0-cve-2026-49142