Link Whisper Free: PHP Object Injection
Zusammenfassung
Das WordPress-Plugin Link Whisper Free für interne Verlinkungen enthält in Versionen bis einschliesslich 0.9.7 eine PHP-Object-Injection-Schwachstelle (CWE-502, Deserialisierung nicht vertrauenswürdiger Daten). Ein Angreifer kann präparierte Daten an das Plugin senden und so die Verarbeitung von Objekten manipulieren, was zu schädlichen Aktionen auf dem Server führen kann. Der CVSS-Vektor 9.8 setzt keine Berechtigungen und keine Benutzerinteraktion voraus, Patchstack nennt jedoch Contributor als erforderliche Berechtigung, weshalb die genauen Voraussetzungen unklar sind.
Betroffen
- Link Whisper Free WordPress-Plugin, Versionen bis einschliesslich 0.9.7
- Hersteller: Link Whisper INC
Behoben in
- Version 0.9.8 oder neuer (gemäss CNA-Eintrag und Patchstack)
Umgehung
- Keine Workaround-Massnahme dokumentiert. Patchstack meldet eine Mitigationsregel, die Angriffe blockiert, bis das Plugin aktualisiert ist; diese ist mit einem Patchstack-Abonnement verfügbar.
- Falls keine Aktualisierung möglich ist, das Plugin deaktivieren und entfernen.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn. CISA KEV: nein.
- Kein öffentlicher Proof-of-Concept gefunden. VulDB gibt an, dass kein Exploit verfügbar ist.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- EPSS etwa 0.3 % für Ausnutzung innerhalb von 30 Tagen (Sekundärquelle).
Unsere Empfehlung
- Alle WordPress-Seiten mit Link Whisper Free erfassen und deren Versionen festhalten.
- Auf 0.9.8 oder neuer aktualisieren, zuerst auf Seiten aus dem Internet erreichbar sind, nach vorgängiger Datensicherung.
- Falls keine Aktualisierung möglich ist, das Plugin deaktivieren und entfernen oder einen virtuellen Patch anwenden.
- Logs auf ungewöhnliche POST- oder AJAX-Anfragen an das Plugin prüfen.
- Die finale Fixversion und Bewertung im Patchstack-Advisory und in der NVD prüfen, da der NVD-Status Deferred ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-109686 app.opencve.io
- VulDB 420629 vuldb.com
- Strix CVE-2026-109686 www.strix.ai
- Shindan Link Whisper en.shindan.m-g-n.me
- WordPress.org Link Whisper plugin wordpress.org
- Websupport Link Whisper vulnerabilities websupportservices.co.uk
- Link Whisper update guide linkwhisper.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.