- CVE-2026-111594影响三个InterSystems IRIS for Health版本。
- 成功利用漏洞可能暴露传输中的数据，并允许攻击者利用这些数据登录设备。
- CISA表示，截至其发布通告时，尚未报告已知的专门针对该漏洞的公开利用活动。
CISA于2026年10月22日发布通告，涉及影响InterSystems IRIS for Health的漏洞。成功利用漏洞可能允许攻击者查看传输中的数据，并利用这些数据登录设备。
该产品已在全球部署，CISA确定医疗保健和公共卫生为受该漏洞影响的关键基础设施领域。CISA表示，截至其发布通告时，尚未报告已知的专门针对该问题的公开利用活动。
CISA将该问题归类为敏感信息明文传输。InterSystems IRIS for Health被描述为一个统一数据平台，将分析处理和事务处理结合起来，并为所有数据类型提供原生互操作性。
CISA将该漏洞归类为明文数据暴露
CISA将该漏洞归类为敏感信息明文传输。该机构表示，成功利用漏洞可能允许攻击者查看传输中的数据，并利用这些数据登录设备。
该产品已在全球部署，而医疗保健和公共卫生是通告中确定的关键基础设施领域。
InterSystems建议为IRIS超级服务器启用SSL/TLS
Abhinav Agarwal向CISA和InterSystems Corporation报告了该漏洞。CISA于2026年10月22日发布了通告。
InterSystems被描述为数据库、应用开发、集成和医疗保健信息系统供应商。Nasdaq将IRIS for Health描述为一个统一数据平台，将分析处理和事务处理结合起来，并为所有数据类型提供原生互操作性。
根据CISA通告，InterSystems建议用户将IRIS超级服务器配置为要求使用SSL/TLS。
Abhinav Agarwal向CISA和InterSystems Corporation报告了该漏洞。CISA的通告没有报告截至发布时已知的专门针对该问题的公开利用活动。
常见问题
InterSystems IRIS for Health发生了什么？
CISA发布了一则通告，涉及影响三个IRIS for Health版本的敏感信息明文传输漏洞。
哪些领域受到IRIS for Health漏洞影响？
CISA确定医疗保健和公共卫生为受影响的关键基础设施领域，并表示该产品已在全球部署。
攻击者可以利用该漏洞做什么？
成功利用漏洞可能允许攻击者查看传输中的数据，并利用这些数据登录设备。
IRIS for Health漏洞是否已遭到利用？
CISA表示，截至其发布通告时，尚未报告已知的专门针对该漏洞的公开利用活动。
用户应如何配置InterSystems IRIS for Health？
CISA表示，InterSystems建议将IRIS超级服务器配置为要求使用SSL/TLS。
来源
- InterSystems Corporation InterSystems IRIS for Health, CISA原始文件
- InterSystems and Virtusa Corporation Partner to Enhance Patient Data Integration Capabilities, Nasdaq
- InterSystems expands the InterSystems Iris data platform with Vector Search to support next-generation AI applications, ITWire
- InterSystems, Wikipedia
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| CISA表示，成功利用漏洞可能允许攻击者查看传输中的数据，并利用这些数据登录设备。 | CISA | 已证实 |
| CISA表示，InterSystems IRIS for Health版本2026.2.0.221、2026.1.0.235和2025.3.0.226受影响。 | CISA | 已证实 |
| CISA将该问题归类为敏感信息明文传输。 | CISA | 已证实 |
| CISA确定医疗保健和公共卫生为受该漏洞影响的关键基础设施领域。 | CISA | 已证实 |
| CISA表示，受影响产品已在全球部署，其公司总部位于美国。 | CISA | 已证实 |
| CISA表示，Abhinav Agarwal向CISA和InterSystems Corporation报告了该漏洞。 | CISA | 已证实 |
| CISA表示，截至当时，尚未报告已知的专门针对该漏洞的公开利用活动。 | CISA | 已证实 |
| CISA于2026年10月22日发布了通告。 | CISA | 已证实 |
| Nasdaq将InterSystems描述为面向医疗保健、商业和政府应用的信息技术平台全球领导者。 | InterSystems, via Nasdaq | 引述 |
| Nasdaq表示，InterSystems IRIS for Health是一个统一数据平台，将分析处理和事务处理结合起来，并为所有数据类型提供原生互操作性。 | InterSystems, via Nasdaq | 引述 |
| Wikipedia将InterSystems描述为一家私营数据库、应用开发、集成和医疗保健信息系统供应商。 | Wikipedia | 已证实 |
| CISA于2026年10月22日发布了报告。 | CISA | 已证实 |
未能核实
- 该漏洞是否在通告发布前遭到利用，尚未确定。
- 有多少InterSystems IRIS for Health部署受影响，尚未确定。
- 除SSL/TLS配置外是否已有软件修复方案，尚未确定。
