Identificadas vulnerabilidades de alta severidad en NextGen Healthcare Mirth Connect

CISA ha publicado un aviso de seguridad que detalla tres vulnerabilidades de alta severidad en NextGen Healthcare Mirth Connect, un software desplegado mundialmente en infraestructuras críticas de los sectores de la salud pública y la sanidad. Los fallos afectan a las versiones 4.7.1 y anteriores del producto.

Las vulnerabilidades identificadas son:

• CVE-2026-82583: Calificada con una puntuación base CVSS v3.1 de 8.3 (ALTA) y CVSS v4.0 de 7.2 (ALTA). Este fallo de inyección SQL (CWE-89) permite a un usuario autenticado ejecutar consultas SQL arbitrarias a través de una API de conector de base de datos. La explotación exitosa podría resultar en la divulgación de credenciales almacenadas para sistemas conectados, la escritura arbitraria de archivos y una condición de denegación de servicio.
• CVE-2026-78224: Con una puntuación base CVSS v3.1 de 8.2 (ALTA) y CVSS v4.0 de 8.8 (ALTA). Esta vulnerabilidad de inyección de entidad externa XML (XXE, CWE-611) se produce en el paso del transformador XSLT, que construye un TransformerFactory sin las opciones de seguridad adecuadas. Esto podría permitir la exfiltración de datos y ataques de denegación de servicio.
• CVE-2026-82578: Puntuada con CVSS v3.1 de 7.5 (ALTA) y CVSS v4.0 de 8.7 (ALTA). También es un fallo de inyección XXE (CWE-611), pero ocurre cuando el procesamiento por lotes XML está activado y la opción XPath seleccionada. La entrada bruta del lote pasa por una configuración predeterminada de XPath/JAXP sin restricciones de entidad, posibilitando la exfiltración de datos y ataques de denegación de servicio.

Según el aviso de CISA, la explotación exitosa de estas vulnerabilidades podría permitir a un atacante la exfiltración de datos o causar una condición de denegación de servicio. NextGen Healthcare, la empresa desarrolladora, ha recomendado a los usuarios actualizar a Mirth Connect v4.7.2 o una versión posterior, disponible a través de su portal de clientes.

Hasta la fecha, CISA no ha recibido informes sobre explotación pública conocida específicamente dirigida a estas vulnerabilidades. La agencia recomienda medidas defensivas como minimizar la exposición de red de los dispositivos, el uso de cortafuegos y VPNs, así como la implementación de estrategias de defensa en profundidad para proteger los activos de sistemas de control industrial.