Mirth Connect n'est plus open source : licence, forks et connexion à l'IA

Qu’est-ce que Mirth Connect ?

Mirth Connect est un moteur d’interfaces (interface engine, en Allemagne souvent appelé « Kommunikationsserver ») : il achemine les messages entre les systèmes d’un hôpital et traduit leurs formats, par exemple du système d’information hospitalier (SIH) vers le laboratoire ou de la radiologie vers la facturation. Mirth comprend HL7 v2 et v3, FHIR, DICOM, X12, XML, JSON et les fichiers texte. Chaque connexion y est appelée canal ; pour chaque canal, les administrateurs définissent d’où viennent les messages, comment ils sont transformés et où ils vont.

Mirth a été développé par Mirth Corporation et appartient depuis 2013 à NextGen Healthcare. NextGen appartient à son tour depuis novembre 2023 au fonds d’investissement Thoma Bravo. Entre 2018 et 2021, le produit s’appelait « NextGen Connect » ; depuis la version 3.12, il s’appelle de nouveau « Mirth Connect by NextGen Healthcare ». En Allemagne, des hôpitaux l’utilisent depuis de nombreuses années, le CHU de Bonn par exemple depuis 2013, comme le décrit un retour d’expérience de 2014.

Comment le SIH, le moteur d’interfaces, la plateforme de données et la plateforme d’IA se partagent le travail est expliqué dans le guide « SIH, moteur d’interfaces, plateforme de données, plateforme d’IA ».

Qu’est-ce qui a changé dans la licence ?

Version	Licence	État
jusqu’à 4.5.2 (23.09.2024)	Mozilla Public License 2.0, plus des extensions commerciales	Code source librement disponible
à partir de 4.6 (annoncée le 19.03.2025)	uniquement commerciale, propriétaire	Niveaux Enterprise, Gold, Platinum ; redevance annuelle fixe par serveur
4.7.2 (actuelle)	uniquement commerciale	Téléchargement via le portail client de NextGen

NextGen a annoncé le changement le 19 mars 2025. Pour les établissements sur la version ouverte, NextGen a indiqué trois voies : rester sur leur propre version, passer à la 4.5.2 comme dernière version ouverte ou acheter une licence. Pour la recherche à but non lucratif, il existe une licence gratuite, « Mirth Connect for Research ». La licence est facturée par serveur, et non par interface ; NextGen ne publie pas de prix.

Ce que signifient en général les changements de licence dans les logiciels open source, à l’aide de trois exemples : Risque de licence avec les outils open source.

Pourquoi est-ce important pour la sécurité ?

Un moteur d’interfaces voit presque tous les messages d’un établissement. Ses vulnérabilités sont donc particulièrement sensibles. En septembre 2026, l’agence américaine CISA a signalé trois vulnérabilités dans Mirth Connect, dont une injection SQL via l’interface du connecteur de base de données (CVSS 8.3) et deux vulnérabilités dans le traitement XML. Selon la CISA, toutes les versions jusqu’à la 4.7.1 sont concernées ; elles sont corrigées dans la 4.7.2, que NextGen livre via son portail client.

Pour les établissements sur la 4.5.2, cela signifie : NextGen ne fournit pas de correctifs pour cette version. Qui la conserve doit évaluer et sécuriser lui-même les vulnérabilités, par exemple par la segmentation du réseau, ou passer à une version qui continue d’être maintenue. Pour NIS2 et le B3S Krankenhaus (référentiel de sécurité allemand du secteur hospitalier), cela relève de la gestion des risques ; une nomenclature logicielle (SBOM) aide à repérer les versions concernées.

Quels forks existent ?

Comme le code jusqu’à la 4.5.2 est sous Mozilla Public License 2.0, la communauté a pu continuer à le développer. Deux forks sont actifs en 2026 :

• Open Integration Engine (OIE) : développé par la communauté, Mozilla Public License 2.0. La version 4.6.0 est parue le 9 juillet 2026. Le projet a été accepté par la Fondation Eclipse ; deux versions avec de nouvelles fonctionnalités sont prévues chaque année. Il porte un nom neutre en raison de la marque « Mirth ».
• BridgeLink : d’Innovar Healthcare, également sous Mozilla Public License 2.0, avec des versions selon le calendrier (dernièrement la 26.9.0 du 1er octobre 2026). Innovar propose des extensions et du support payants, en Allemagne via MARIS Healthcare. La licence de chaque composant mérite un examen à part ; tous ne sont pas sous la même licence.

Les deux reposent sur la 4.5.2. Les canaux peuvent donc en général être repris ; testez avant un changement si cela vaut pour vos extensions et vos canaux.

Que doivent vérifier maintenant les établissements qui utilisent Mirth Connect ?

1. Déterminer la version : quelle version tourne, avec quelles extensions ? Les vulnérabilités jusqu’à la 4.7.1 sont-elles corrigées ?
2. Clarifier la licence : utilisez-vous la version ouverte, une licence commerciale ou les deux ? Les extensions commerciales antérieures à la 4.6 ont leurs propres conditions.
3. Choisir une voie : sécuriser soi-même la version ouverte, licence commerciale, fork ou autre moteur d’interfaces. Chaque voie a un coût : pour la licence, pour la maintenance en interne ou pour la migration des canaux.
4. Documenter les canaux : quels systèmes sont reliés à quel canal ? Vous avez besoin de cette liste pour chacune des voies, y compris pour les appels d’offres.
5. Vérifier le stockage des messages : Mirth enregistre les messages par canal à différents niveaux, des seules métadonnées au contenu complet. La durée est réglée par la fonction de suppression (Data Pruner). Ces paramètres ont leur place dans le registre des activités de traitement.

Comment une IA accède-t-elle à Mirth Connect ?

Mirth Connect dispose d’une interface REST, que sa propre interface d’administration utilise aussi. Sa description figure publiquement dans la documentation de NextGen, et chaque installation affiche la liste complète des appels sous /api. La connexion passe par un compte dans Mirth.

Pour une IA, trois éléments sont particulièrement utiles :

• État et erreurs des canaux : quelle interface est à l’arrêt, où les messages s’accumulent-ils, quelles erreurs y a-t-il eu cette nuit ? On n’y trouve guère de données de patients.
• Statistiques : débit par canal, par exemple pour le rapport à la direction informatique.
• Recherche dans les messages : heure, état, texte d’erreur et canal d’un message. Le contenu lui-même relève des données de santé.

Une question comme « Pourquoi aucun résultat de laboratoire n’est-il arrivé dans le SIH depuis 6 heures ? » reçoit alors une réponse de l’IA tirée de l’état et des erreurs des canaux, avec source.

Deux points demandent de l’attention. L’interface peut aussi écrire, c’est-à-dire arrêter des canaux ou renvoyer des messages. Une connexion d’IA a donc besoin de son propre compte aux droits restreints. Et par défaut, elle ne devrait pas lire le contenu des messages ; si elle le fait, alors seulement après accord avec le délégué à la protection des données et uniquement pour les personnes qui ont de toute façon le droit de voir ces données.

Comment cela fonctionne-t-il avec basebox ?

basebox relie les systèmes par des connecteurs ; pour les spécialistes : via MCP (Model Context Protocol). Un connecteur pour Mirth Connect est annoncé (« Bientôt disponible »). Il utilise l’interface REST et fonctionne donc aussi avec les forks Open Integration Engine et BridgeLink, qui ont la même interface. Par défaut, il ne fait que lire ; le contenu des messages uniquement après accord avec vous. Chaque appel figure dans le journal d’audit. Tous les connecteurs de notre bibliothèque sont inclus dans la licence.

Par le moteur d’interfaces, basebox atteint en outre les systèmes qui y convergent déjà, comme le SIH, le laboratoire et la radiologie. Pour les données cliniques, nous convenons de l’accès avec vous et les éditeurs ; basebox n’est pas un dispositif médical, la décision revient toujours au médecin. Tous les connecteurs avec leur statut figurent sous Connecteurs.

Pas un conseil juridique : vérifiez dans le texte de la licence, et en cas de doute avec votre service juridique, si une licence autorise votre usage. Les informations sur Mirth Connect, Open Integration Engine et BridgeLink reflètent l’état de nos recherches au 15 octobre 2026 et s’appuient sur les indications des éditeurs et des projets.