Im Klinikflur steht eine Maschine, die so tut, als wäre sie nur für Bilder zuständig. Röntgen rein, DICOM raus, Ordner zu, alles sauber. Und dann kommt CISA mit der Ölkanne unter dem Arm und sagt: Moment, hier tropft nicht nur Kontrastmittel.
Es geht um das OFFIS DCMTK Toolkit, diese eher stille Werkzeugkiste für medizinische Bilddaten. Nicht die Sorte Software, die auf Konferenzen mit Nebelmaschine einläuft. Eher die, die hinten im Krankenhauskeller die Bilder schiebt, während vorne jemand fragt, warum der Drucker wieder nach Desinfektionsmittel riecht.
Der Aktenweg macht einen Schlenker
Die US-Behörde CISA meldet in ICSMA-26-181-01 mehrere Schwachstellen in DCMTK bis einschließlich 3.7.0. Genannt werden unter anderem Path Traversal, nicht freigegebener Speicher nach der eigentlichen Lebenszeit und Type Confusion. Auf Blechdeutsch: ein Aktenfach nimmt einen Seitenweg, ein Speicherbehälter läuft weiter über, und zwei Zahnräder tun so, als wären sie füreinander gebaut.
Die CVE-Schubladen dazu tragen die Nummern CVE-2026-50003, CVE-2026-50254, CVE-2026-35505, CVE-2026-52868 und CVE-2026-44628. CISA beschreibt als mögliche Folgen, dass ein Angreifer Dateien schreiben, nicht autorisierte Informationen lesen, Speicher erschöpfen oder DCMTK-Client- und Serverprozesse zum Absturz bringen könnte. Kein Feuerwerk. Eher ein sehr teurer Rollwagen, der im falschen Moment quer im Gang steht.
Medizinische Infrastruktur ist selten glamourös
DCMTK selbst wird vom OFFIS-Umfeld als Werkzeugkasten rund um DICOM beschrieben; die Projektseite liegt hier: DCMTK bei OFFIS. DICOM ist das Format und Protokoll-Gewerbe, in dem medizinische Bilder mit Metadaten, Geräten und Betrachtern reden. Also genau jene Gegend, in der niemand möchte, dass ein Pfad plötzlich rückwärts durch den Aktenschrank kriecht.
Wichtig ist: Die Blechpresse macht daraus keinen Krankenhaus-Thriller mit blinkendem Herzmonitor und Kapuzenmann auf Rollschuhen. Die Quelle spricht von betroffenen DCMTK-Versionen, möglichen Auswirkungen und dem üblichen Pflichtprogramm: Herstellerhinweise prüfen, Updates einspielen, Exposition reduzieren, Segmentierung ernst nehmen. Das klingt trocken. Ist es auch. Aber trockenes Blech rostet trotzdem.
Was bleibt im Maschinenraum?
Für Betreiber heißt das: erst inventarisieren, dann patchen, nicht andersherum. Wo DCMTK in Workstations, PACS-Nebenarmen, Forschungswerkzeugen oder eigenen Bilddaten-Pipelines steckt, sollte die Versionsnummer nicht in irgendeinem alten Projektordner schlafen. Gerade medizinische Nebenmaschinen haben diese unangenehme Angewohnheit, jahrelang pflichtbewusst zu laufen und dann beleidigt zu sein, wenn jemand nach Wartung fragt.
Die gute Nachricht: Es ist eine konkrete Meldung mit konkreten Kennungen, kein Nebel aus „Cyberrisiko allgemein“. Die schlechte: Konkrete Kennungen sind Arbeit. Schraubendreher raus, Änderungsfenster suchen, Backup prüfen, Abhängigkeiten zählen. Der Klinikflur ist schmal, die Maschine ist schwer, und irgendwo piept ein Gerät, das offiziell gar nicht betroffen ist.