- CVE-2026-111594影響InterSystems IRIS for Health三個版本。
- 成功利用漏洞可能導致傳送中的資料外洩，並讓攻擊者利用該資料登入裝置。
- CISA表示，在其發布公告時，未有報告已知、專門針對該漏洞的公開利用個案。
CISA於2026年10月22日就影響InterSystems IRIS for Health的漏洞發出公告。成功利用漏洞可能讓攻擊者查看傳送中的資料，並利用該資料登入裝置。
該產品已在全球部署，而CISA確認醫療保健及公共衞生為受漏洞影響的關鍵基礎設施界別。CISA表示，在其發布公告時，未有報告已知、專門針對該問題的公開利用個案。
CISA將該問題列為敏感資料以明文傳送。InterSystems IRIS for Health被形容為統一數據平台，將分析及交易處理與所有數據類型的原生互操作性結合。
CISA列漏洞為明文數據外洩
CISA將該漏洞列為敏感資料以明文傳送。該機構表示，成功利用漏洞可能讓攻擊者查看傳送中的資料，並利用該資料登入裝置。
該產品已在全球部署，而醫療保健及公共衞生是公告確認的關鍵基礎設施界別。
InterSystems建議IRIS超級伺服器採用SSL/TLS
Abhinav Agarwal向CISA及InterSystems Corporation報告該漏洞。CISA於2026年10月22日發布公告。
InterSystems被形容為數據庫、應用程式開發、整合及醫療保健資訊系統供應商。Nasdaq形容IRIS for Health為統一數據平台，將分析及交易處理與所有數據類型的原生互操作性結合。
根據CISA公告，InterSystems建議用戶設定IRIS超級伺服器，要求使用SSL/TLS。
Abhinav Agarwal向CISA及InterSystems Corporation報告該漏洞。CISA的公告沒有報告在發布時已知、專門針對該問題的公開利用個案。
常見問題
InterSystems IRIS for Health發生甚麼事？
CISA就影響三個IRIS for Health版本、涉及敏感資料以明文傳送的漏洞發布公告。
哪些界別受IRIS for Health漏洞影響？
CISA確認醫療保健及公共衞生為受影響的關鍵基礎設施界別，並表示該產品已在全球部署。
攻擊者可利用漏洞做甚麼？
成功利用漏洞可能讓攻擊者查看傳送中的資料，並利用該資料登入裝置。
IRIS for Health漏洞曾被利用嗎？
CISA表示，在其發布公告時，未有報告已知、專門針對該漏洞的公開利用個案。
用戶應如何設定InterSystems IRIS for Health？
CISA表示，InterSystems建議設定IRIS超級伺服器，要求使用SSL/TLS。
來源
- InterSystems Corporation InterSystems IRIS for Health, CISA原始文件
- InterSystems and Virtusa Corporation Partner to Enhance Patient Data Integration Capabilities, Nasdaq
- InterSystems expands the InterSystems Iris data platform with Vector Search to support next-generation AI applications, ITWire
- InterSystems, Wikipedia
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| CISA表示，成功利用漏洞可能讓攻擊者查看傳送中的資料，並利用該資料登入裝置。 | CISA | 已證實 |
| CISA表示，InterSystems IRIS for Health版本2026.2.0.221、2026.1.0.235及2025.3.0.226受影響。 | CISA | 已證實 |
| CISA將該問題列為敏感資料以明文傳送。 | CISA | 已證實 |
| CISA確認醫療保健及公共衞生為受漏洞影響的關鍵基礎設施界別。 | CISA | 已證實 |
| CISA表示，受影響產品已在全球部署，而其公司總部位於美國。 | CISA | 已證實 |
| CISA表示，Abhinav Agarwal向CISA及InterSystems Corporation報告該漏洞。 | CISA | 已證實 |
| CISA表示，在當時未有報告已知、專門針對該漏洞的公開利用個案。 | CISA | 已證實 |
| CISA於2026年10月22日發布公告。 | CISA | 已證實 |
| Nasdaq形容InterSystems為健康、商業及政府應用資訊科技平台的全球領導者。 | InterSystems, via Nasdaq | 引述 |
| Nasdaq表示，InterSystems IRIS for Health是統一數據平台，將分析及交易處理與所有數據類型的原生互操作性結合。 | InterSystems, via Nasdaq | 引述 |
| Wikipedia形容InterSystems為數據庫、應用程式開發、整合及醫療保健資訊系統的私人持有供應商。 | Wikipedia | 已證實 |
| CISA於2026年10月22日發布報告。 | CISA | 已證實 |
未能核實
- 該漏洞在公告發布前是否曾被利用，尚未確定。
- 有多少個InterSystems IRIS for Health部署受影響，尚未確定。
- 除SSL/TLS設定外是否已有軟件修補程式，尚未確定。
