Cyber ·
CVE-2026-113873 a 113876: HAPI FHIR permite acesso entre tenants e esgotamento de heap
A CISA publicou quatro registros CVE e o aviso VA-26-294-01 sobre falhas no HAPI FHIR, implementação Java de código aberto do padrão HL7 FHIR. No pior caso, um usuário autorizado em um tenant pode ler ou gravar dados na partição de outro tenant.
Segundo o texto publicado em 22 de outubro de 2026 por Abhinav Agarwal no feed oss-sec, quatro vulnerabilidades no HAPI FHIR podem permitir acesso ou gravação de dados em partições de outros tenants e esgotamento de heap. A CISA publicou os registros CVE e o aviso CSAF VA-26-294-01, e as falhas foram coordenadas no caso VINCE VU#394579. O autor reproduziu as quatro falhas na versão upstream 8.10.0, commit 96ac50f89455, usando dados sintéticos. No pior caso, um usuário autorizado para um tenant pode ler dados de outro tenant ou criar dados na partição de outro tenant. Uma das falhas, relacionada a gzip, causa esgotamento de heap.
O texto-fonte traz a lista de versões afetadas incompleta, então não é possível confirmar aqui quais builds estão expostos. Para verificar, consulte o aviso CSAF e os registros CVE publicados pela CISA e o caso de coordenação indicado. A relevância para a área de IA está em instalações de FHIR multitenant cujos extratos clínicos ou pessoais sejam enviados a modelos. Rota Nacional não corrige o servidor HAPI FHIR nem resolve essas falhas de software. Ainda assim, dados pessoais enviados por API passam pela barreira da plataforma, que detecta CPF, CNPJ, e-mail, telefone e nomes e aplica marcadores, remoção ou bloqueio. Essa proteção não substitui a aplicação de correções nem o isolamento correto entre tenants.