Medkey EHR · Código de ataque público

IDOR no Medkey EHR expõe prontuários de outros pacientes; PoC pública

26 de out. de 2026 · 1 min de leitura

Falha de IDOR (CVE-2026-12207, CVSS 4,3) na API REST do Medkey EHR permite que um usuário autenticado manipule o ID de paciente e recupere prontuários de outras pessoas. Um PoC já foi publicado e nenhuma correção foi divulgada. Restrinja o acesso à busca de pacientes e monitore consultas anômalas até sair um patch.

Por Redação HIFY Radar Atualizado 26/10/2026 16:16 Receba isso todo dia →← Voltar ao feed 1 fonte

MédiaFalhaCódigo de ataque públicoCorreção a confirmar

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Uma falha no sistema de prontuários eletrônicos Medkey EHR permite que um usuário com conta válida veja registros de outros pacientes alterando o identificador na busca. A falha é rastreada como CVE-2026-12207, com severidade média (CVSS 4,3). Um código de demonstração já circula publicamente.

Por que importa

Prontuários médicos contêm dados sensíveis de saúde e a exposição pode gerar obrigações legais e regulatórias, como notificação de incidente. Hospitais e clínicas que usam o Medkey estão sujeitos a acesso não autorizado a informações de pacientes por qualquer conta de baixo privilégio, inclusive conta comprometida.

O que fazer

Verifique com o fornecedor se há correção para builds rolling-release até o commit fc09b7ba. Enquanto não há patch, restrinja o acesso à API REST do Medkey à rede interna ou VPN e revise os registros de busca de pacientes em busca de padrões anômalos.

Para o time técnico

CVE: CVE-2026-12207
Afetados: Medkey EHR (API REST, funcionalidade de busca de pacientes) · Builds rolling-release do Medkey até o commit fc09b7ba9441ff590b72d428d5380834216b09ed.
Exploração: PoC pública, divulgada pela conta DarkWebInformer. Nenhuma exploração em campo relatada nas fontes.
Correção: Nenhuma correção divulgada nas fontes.
Vetor: IDOR (CWE-99, Improper Control of Resource Identifiers) na API REST do Medkey EHR: verificações de autorização insuficientes na funcionalidade de busca de pacientes. Um usuário autenticado com privilégios baixos manipula o valor do ID do paciente e recupera registros de outros pacientes. Explorável remotamente, sem interação do usuário.
Mais detalhes: Rastreada como CVE-2026-12207, CVSS 4,3 (média). Impacto relatado: acesso não autorizado a informações de pacientes. Fonte única: post da conta DarkWebInformer (26/10/2026). O incidente cita o commit de forma truncada; o hash completo consta apenas da fonte.