Betroffene Einrichtungen
Bereich
Adobe ColdFusion-Versionen bis 2025.9 und 2023.20 weisen eine kritische Schwachstelle zur Remotecodeausführung auf, die ohne Benutzerinteraktion ausgenutzt werden kann und den Scope ändert (CVSS 10.0). In Krankenhäusern und anderen Gesundheitseinrichtungen, die ColdFusion als Webapplikationsplattform für KIS, Patientenportale oder interne Anwendungen einsetzen, besteht unmittelbares Risiko für Systemkompromittierung und Patientendatenverlust. Ein sofortiges Patchen sowie die Überprüfung exponierter Instanzen sind zwingend erforderlich.
1 Sofortiger Patch auf ColdFusion 2025.10 / 2023.21 oder neuer – Adobe-Sicherheitsbulletin prüfen und Update unverzüglich einspielen.
2. ColdFusion-Instanzen im Netzwerk identifizieren (insbesondere auf KIS-/RIS-/PACS-Applikationsservern) und Exposition ins Internet sofort durch WAF oder Firewall-Regeln unterbinden.
3. Webzugriff auf ColdFusion-Admin-Konsole (/CFIDE/administrator) auf interne Management-IP-Adressen beschränken oder vollständig sperren.
4. Server-Logs (ColdFusion-Anwendungs- und Webserver-Logs) auf Anzeichen von Exploitation prüfen: unerwartete Prozessaufrufe, Shell-Spawning oder anomale Outbound-Verbindungen.
5. Incident-Response einleiten falls Exploit-Spuren gefunden: System isolieren, forensische Sicherung erstellen und ggf. NIS2-Meldepflicht beim BSI prüfen.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja