AI가 최대 규모 오픈소스 EMR 소프트웨어에서 취약점 38개를 발견했다

AISLE의 AI 분석기가 2026년 1분기 OpenEMR 코드베이스를 점검해 38개 CVE를 찾아냈다. 같은 기간 GitHub에 공개된 OpenEMR 보안 공지의 절반 이상을 차지한 수치다.

OpenEMR은 10만 명 이상 의료 제공자와 2억 명 이상 환자가 쓰는 대형 오픈소스 EMR이며, 2026년 2월 출시된 OpenEMR 8.0은 미국 ONC 인증도 받았다. 2018년 Project Insecurity가 23개 취약점을 공개했던 것과 비교하면, AI 기반 분석이 훨씬 빠르게 더 많은 문제를 찾아낸 셈이다.

대표적으로는 다음과 같은 문제가 나왔다.

• CVE-2026-24908: Patient REST API의 _sort 파라미터가 SQL ORDER BY에 그대로 붙어 SQL injection이 가능했다.
• Immunization 모듈의 patient_id 처리에서도 값이 직접 SQL WHERE 절에 들어가 데이터 유출과 조건부 RCE로 이어질 수 있었다.
• CVE-2026-24487: FHIR CareTeam이 환자 범위 제한을 적용하지 않아, 환자 스코프 토큰으로도 전체 care team 데이터가 노출됐다.

악용 가능성은 PHI 대량 유출, DB 전체 compromise, 경우에 따라 파일 읽기/쓰기와 웹셸 업로드까지 포함됐다. AISLE은 각 CVE에 대해 저장소의 기존 추상화와 검증 로직을 활용한 수정안을 제안했고, OpenEMR 유지보수진은 이를 빠르게 반영했다. 핵심 패치는 2026년 2월 11일 OpenEMR 8.0.0에 들어갔고, 나머지는 3월의 후속 패치로 정리됐다.

이후 2026년 4월에는 AISLE PRO를 코드 리뷰 단계에 붙여, 새 취약점을 배포 전에 잡는 체계로 확장했다.