В OpenEMR ниже 8.4.0 сотрудник с узкими правами может достать чужие документы пациентов

Коротко. В свободной электронной медкарте OpenEMR в версиях ниже 8.4.0 нашлась критическая ошибка прав на документы пациентов. Сотрудник с обычным входом и узкими правами может переназначить чужой документ так, чтобы потом прочитать его «легальным» путём. Рядом закрыт пакет более ранних дыр прав доступа (в основном с 8.3.0). Подтверждённых массовых атак нет — но данные пациентов стоят того, чтобы проверить версию на этой неделе.

Касается ли это вас.

• Да, если в клинике или кабинете стоит свой OpenEMR и версия ниже 8.4.0.
• Скорее всего нет, если пользуетесь другой облачной ЭМК и OpenEMR не устанавливали.
• Не знаете — спросите у того, кто ставил сервер: «у нас OpenEMR и какая версия?»

Чем грозит. Утечка или перенос медицинских документов и персональных данных пациентов между картами. Для клиники это и врачебная тайна, и репутация, и претензии регулятора — даже без «взлома из интернета без пароля».

Что сделать в первую очередь (на этой неделе).

1. Войдите в OpenEMR → меню помощи / значок «i» / About («О программе») и запишите номер версии. В разделе Administration версии обычно нет.
2. Версия ниже 8.4.0 — сделайте внешнюю копию базы и файлов (встроенный Backup с 8.3.0 снят), затем обновитесь по инструкции проекта минимум до 8.4.0, лучше до актуальной 8.5.0 (официальные загрузки OpenEMR / Docker-образ openemr/openemr). Если стоит на XAMPP (Windows) — «просто обновить файлы» до 8.4/8.5 нельзя: сначала миграция на Docker на текущей версии, потом апгрейд (готовый текст ниже).
3. Нет доступа к серверу — перешлите готовый текст тому, кто администрирует.

Получилось, если в About видна версия не ниже 8.4.0 и сотрудники входят как обычно. Не получилось — не ставьте «патчи» с форумов; зовите того, кто сопровождает установку.

Что сделать во вторую очередь.

1. Пересмотрите, кому выданы учётки с низкими ролями (ресепшен, стажёры) и нужен ли им вход с улицы.
2. Ограничьте доступ к панели OpenEMR доверенной сетью или VPN.
3. Гляньте недавние странные переносы документов между картами пациентов.

Если сразу не получается.

• Обновление боитесь ломать сами — отдайте подрядчику готовый текст.
• На старой версии застряли из‑за доработок под клинику — всё равно усильте состав учёток и сеть; план апгрейда не откладывайте «на потом».

Готовый текст для того, кто ведёт сервер.

Здравствуйте! По OpenEMR: в NVD 05.11.2026 пакет, фокус CVE-2026-102940 (CVSS 9.6): ниже 8.4.0 низкопривилегированный аутентифицированный пользователь может переназначить чужие документы пациентов и прочитать их. Рядом ACL-дыры, в основном закрытые с 8.3.0. Подтверждённых атак / KEV нет. Прошу: Help→About → внешний бэкап DB+sites → если XAMPP: миграция на официальный Docker на текущей версии (гайд проекта «XAMPP to Docker Migration»), затем апгрейд; иначе апгрейд ≥8.4.0 (лучше 8.5.0+) с официальных загрузок OpenEMR / образа Docker → sql_upgrade → проверка входа и документов. Подробности: https://nevzlom.ru/ru/tech/2026-11-06-openemr/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-06-openemr/

Источник. OpenEMR Project: release notes 8.4.0 / 8.3.0 / 8.5.0 и страница загрузок (URL не ставим: с них переход на GitHub Security Advisories с PoC). Номера CVE-2026-102940 и соседних — текстом.