NextGen Healthcare Mirth Connect, piattaforma impiegata per integrare e far dialogare applicazioni in ambito sanitario, è interessata da tre vulnerabilità che possono portare all’esfiltrazione di informazioni oppure rendere indisponibile il servizio. L’allerta, pubblicata il 10 settembre dalla Cybersecurity and Infrastructure Security Agency statunitense (CISA), riguarda tutte le release fino alla 4.7.1 compresa e invita le organizzazioni ad aggiornare alla versione 4.7.2 o successiva.
Il dossier rientra nelle ICS Medical Advisory di CISA e colloca il prodotto nel perimetro delle infrastrutture critiche sanitarie. È un elemento rilevante: in ambienti dove i sistemi di laboratorio, cartella clinica, dispositivi e applicazioni amministrative devono scambiare dati in modo continuo, un componente di integrazione può rappresentare un nodo particolarmente sensibile. La severità del problema non dipende soltanto dalla possibilità di sottrarre dati, ma anche dalle ricadute operative che un’interruzione può avere sui flussi assistenziali.
Le tre falle identificate sono CVE-2026-82583, CVE-2026-78224 e CVE-2026-82578. Tutte hanno valutazione alta secondo CVSS, ma non presentano le stesse condizioni di sfruttamento. Due sono legate alla gestione di documenti XML attraverso configurazioni che non limitano adeguatamente le entità esterne; la terza riguarda invece la possibilità, per un utente già autenticato, di inviare comandi SQL arbitrari tramite un’API del Database Connector.
Due percorsi XML senza protezioni sufficienti
CVE-2026-78224 interessa lo step XSLT Transformer. Secondo CISA, la componente crea una TransformerFactory senza applicare le opzioni di sicurezza necessarie. In queste condizioni un input XML costruito ad arte può sfruttare una tecnica XXE, acronimo di XML External Entity, per tentare di leggere o far uscire dati e provocare un denial of service. La vulnerabilità ha un punteggio CVSS 3.1 di 8,2 su 10 e non richiede autenticazione né interazione dell’utente secondo il vettore pubblicato nell’avviso.
La seconda esposizione XML, CVE-2026-82578, emerge invece quando sono abilitate l’elaborazione batch XML e l’opzione XPath. Il flusso di input viene allora affidato a una configurazione XPath/JAXP predefinita che non impone restrizioni sulle entità. Anche in questo caso il risultato potenziale è la lettura o l’esfiltrazione di dati e la degradazione o indisponibilità del servizio. CISA assegna alla falla un punteggio CVSS 3.1 di 8,2; la classificazione CVSS 4.0 riportata nel bollettino arriva a 8,8.
Il rischio XXE va letto nel contesto del modo in cui XML viene ancora trattato in molti sistemi di interoperabilità. Un parser configurato senza difese contro le entità esterne può essere indotto a elaborare riferimenti che non dovrebbero essere risolti. Non ogni installazione di Mirth Connect utilizza necessariamente gli stessi passaggi o le stesse opzioni, ma le organizzazioni che hanno attivato le funzioni richiamate dall’avviso hanno un motivo concreto per verificare con priorità le proprie configurazioni e l’esposizione dell’istanza.
La falla SQL richiede un account, ma amplia l’impatto
CVE-2026-82583 è una SQL injection nel Database Connector API. A differenza delle due vulnerabilità XXE, per sfruttarla l’attaccante deve disporre di un accesso autenticato. Il prerequisito non rende però trascurabile il difetto: CISA segnala che un utente autenticato può eseguire SQL arbitrario e, tra le conseguenze possibili, indica l’esposizione delle credenziali memorizzate per i sistemi collegati, la scrittura arbitraria di file e un denial of service.
Il punteggio CVSS 3.1 è 8,3, quindi alto. In un’architettura di integrazione, la presenza di credenziali per connessioni verso altri sistemi è un aspetto da considerare con attenzione nella valutazione dell’incidente: un difetto circoscritto all’applicazione può diventare il punto di partenza per raggiungere risorse collegate, a seconda dei privilegi assegnati e di come è stata progettata la rete. L’avviso non attribuisce campagne di sfruttamento né incidenti specifici a queste CVE, pertanto non è corretto dedurre che una compromissione sia già avvenuta.
La distinzione fra gli scenari è importante anche per stabilire le priorità. Le vulnerabilità XML risultano raggiungibili senza autenticazione nelle metriche divulgate da CISA, mentre l’iniezione SQL presuppone un account valido. Per i team di sicurezza ciò suggerisce di non limitarsi a un inventario delle versioni installate: occorre esaminare quali interfacce sono esposte, quali canali utilizzano trasformazioni XSLT o batch XML con XPath e quali identità hanno accesso alle API e ai connettori database.
Patch disponibile, ma serve una verifica operativa
NextGen Healthcare raccomanda il passaggio a Mirth Connect 4.7.2 o a una release successiva. L’aggiornamento è disponibile tramite il customer portal del fornitore. È la misura correttiva indicata per tutte e tre le CVE, e dovrebbe essere pianificata con urgenza dalle realtà che eseguono la 4.7.1 o una versione precedente.
In strutture sanitarie e in altri contesti regolati, tuttavia, installare una patch su un motore di integrazione richiede spesso una procedura controllata. Canali, connettori, trasformazioni, dipendenze e flussi di messaggi possono essere personalizzati; prima del rilascio in produzione è quindi ragionevole validare l’aggiornamento in un ambiente di test, predisporre un piano di rollback e coordinare l’intervento con chi gestisce le applicazioni collegate. Questa cautela non deve tradursi in rinvii indefiniti, soprattutto quando sono in gioco vulnerabilità che CISA valuta ad alta gravità.
Nell’intervallo necessario per completare l’update, le organizzazioni possono ridurre la superficie esposta verificando la raggiungibilità delle istanze, limitando gli accessi amministrativi e alle API ai soli soggetti necessari e controllando con particolare attenzione gli account dotati di privilegi sui connettori database. Per i percorsi XML menzionati nell’avviso, serve inoltre identificare dove XSLT Transformer, batch XML e XPath siano effettivamente usati. Sono misure di contenimento e visibilità, non sostituti della correzione fornita dal produttore.
Il bollettino non offre dettagli tecnici tali da consentire una valutazione puntuale di ogni configurazione né comunica indicatori di compromissione. Di conseguenza, il passo immediato per gli amministratori è unire patch management e verifica: censire gli host Mirth Connect, accertare le versioni, valutare le funzioni XML attive, controllare le autorizzazioni e portare i sistemi alla 4.7.2 o oltre. Per un prodotto distribuito a livello mondiale nel settore healthcare, la rapidità con cui questa attività verrà eseguita può fare la differenza tra un aggiornamento ordinario e la gestione di un’interruzione o di una potenziale fuga di dati.
