Alerta de seguridad por transmisión en claro en InterSystems IRIS for Health

La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) ha alertado sobre una vulnerabilidad (CVE-2026-111594) en InterSystems IRIS for Health, una plataforma de datos implementada globalmente en sectores de infraestructura crítica como la salud pública. Según el aviso ICSMA-26-295-01 de CISA, el software tiene el cifrado TLS/SSL deshabilitado por defecto, lo que posibilita la transmisión de información sensible en texto plano.

Esta configuración predeterminada sin cifrado representa una vulnerabilidad de "Transmisión en Claro de Información Sensible" (CWE-319). Su explotación exitosa permitiría a un atacante visualizar los datos transmitidos y, potencialmente, utilizar esa información para iniciar sesión en el dispositivo. Las versiones afectadas incluyen InterSystems IRIS for Health 2026.2.0.221, 2026.1.0.235 y 2025.3.0.226.

La vulnerabilidad ha sido clasificada con una puntuación base CVSS v3.1 de 8.1, categorizándola como de severidad ALTA, y una puntuación base CVSS v4.0 de 9.2, considerada CRÍTICA. Abhinav Agarwal fue quien reportó esta falla a CISA y a InterSystems Corporation.

InterSystems ha proporcionado recomendaciones para mitigar el riesgo. Los usuarios deben configurar el superserver de IRIS para exigir el uso de SSL/TLS. La documentación de InterSystems detalla que existen tres ajustes: "Disabled" (desactivado), "Enabled" (activado, que permite, pero no fuerza, el uso de TLS), y "Required" (requerido, que fuerza todas las comunicaciones de cliente a usar TLS). Se insta a los usuarios a seleccionar la opción "Required" para asegurar sus comunicaciones.

Hasta la fecha, CISA no tiene constancia de explotación pública conocida de esta vulnerabilidad. Adicionalmente, CISA ofrece prácticas recomendadas de seguridad para sistemas de control, incluyendo la minimización de la exposición de red, el aislamiento de redes de control y el uso de VPNs para el acceso remoto seguro.