⚠️ Mögliche Auswirkung auf Patientensicherheit

Betroffene Einrichtungen

🏥 Krankenhaus🏨 Fachklinik🏃 Rehaklinik🏡 Pflegeheim🔬 Labor🏢 Ambulantes Zentrum

Bereich

IT-InfrastrukturKIS-SoftwareLIS / RIS / PACSCloud-Dienste
Beschreibung

Adobe ColdFusion bis Version 2025.9 und 2023.20 weist eine kritische Schwachstelle (CVSS 10.0) auf, die durch uneingeschränkten Datei-Upload beliebige Codeausführung ohne Benutzerinteraktion ermöglicht. Im Gesundheitswesen sind insbesondere Einrichtungen betroffen, die ColdFusion-basierte Web-Applikationen (z. B. Patientenportale, KIS-Schnittstellen) betreiben. Ein erfolgreicher Angriff kann zur vollständigen Kompromittierung des Servers und zum Verlust von Patientendaten führen.

Handlungsempfehlung

1 Adobe ColdFusion sofort auf Version 2025.10 bzw. 2023.21 oder neuer patchen – kein Aufschub, da CVSS 10.0 und keine Benutzerinteraktion nötig.

2. ColdFusion-Server umgehend vom Netz isolieren bzw. WAF-Regeln aktivieren, um File-Upload-Endpunkte zu blockieren, bis der Patch eingespielt ist.

3. Alle ColdFusion-Instanzen im Netzwerk inventarisieren (inkl. eingebettete Web-Applikationen in KIS/RIS/PACS-Umgebungen) und Versionsstände prüfen.

4. Logfiles der ColdFusion-Server auf verdächtige Upload-Aktivitäten und Webshell-Artefakte untersuchen (speziell POST-Requests auf Upload-Verzeichnisse).

5. Upload-Verzeichnisse auf neu erstellte ausführbare Dateien (.cfm, .jsp, .php, .exe) prüfen und Ausführungsrechte für Web-Upload-Ordner serverseitig entfernen.

🔒

Weitere konkrete Handlungsschritte für Ihre IT-Abteilung
sind ISMShield AI Kunden vorbehalten.

Jetzt freischalten →
Regulatorische Einordnung

NIS2-Relevanz: •••    B3S: •••    ISG: ••ˆ    Meldepflicht DE: ja

🔒

Regulatorische Einordnung (NIS2, B3S, ISG, nDSG)
nur für ISMShield AI Kunden.

Details freischalten →
Quelle: NIST NVD — Original-Meldung →