ILIAS: PHP Object Injection beim Import von Tests

Zusammenfassung

ILIAS, ein Open-Source-Lernmanagementsystem, enthält eine PHP Object Injection Schwachstelle beim Import von Test-Archiven. Ein authentifizierter Benutzer mit Berechtigung zum Erstellen oder Importieren von Tests kann ein präpariertes Archiv hochladen, dessen Attribut tst_sequence deserialisiert wird, was zum Schreiben von PHP-Dateien und zur Ausführung von Code auf dem Server führen kann. Der CVSS-4.0-Basiswert beträgt 8.7 (hoch), die Ausnutzung ist über das Netzwerk ohne Benutzerinteraktion möglich.

Betroffen

• ILIAS 9.0 bis vor 9.24
• ILIAS 10.0 bis vor 10.12
• ILIAS 11.0 bis vor 11.5
• Standardkonfiguration: nicht betroffen (gemäss CNA)

Behoben in

• ILIAS 9.24
• ILIAS 10.12
• ILIAS 11.5 (im ILIAS-Security-Blog aufgeführt; gegen die Herstellerwarnung prüfen)

Umgehung

• Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme gefunden; das Patchen ist die genannte Abhilfe.
• Übergangsmassnahme: Berechtigungen zum Erstellen und Importieren von Tests auf vertrauenswürdige Rollen beschränken, bis ILIAS aktualisiert ist.

Ausnutzung

• CISA KEV: nicht aufgeführt.
• EPSS: 0.0057.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof-of-Concept für diese CVE gefunden.
• Das Label '0-Day' von VulDB ist ein Statusfeld und kein Beleg für eine Ausnutzung in freier Wildbahn.
• Die verwandte CVE-2026-80428 ist eine PHP Object Injection in ILIAS ohne Authentifizierung mit öffentlichem PoC; betroffen sind Versionen vor 9.22, 10.10 und 11.3.

Unsere Empfehlung

• Installierte ILIAS-Version prüfen und je nach Zweig auf 9.24, 10.12 oder 11.5 aktualisieren.
• Berechtigungen zum Erstellen und Importieren von Tests auf vertrauenswürdige Rollen beschränken.
• Sicherstellen, dass die Instanz nicht über das notwendige Mass hinaus aus dem Internet erreichbar ist.
• Liegt die Version unter 9.22, 10.10 oder 11.3, die Aktualisierung priorisieren, da CVE-2026-80428 auch ohne Authentifizierung ausnutzbar ist.
• Auf unerwartete PHP-Dateien in den Webverzeichnissen achten und kürzliche Test-Importe überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory: ILIAS PHP Object Injection via Test Results Import www.vulncheck.com
• ILIAS Security Blog (docu.ilias.de) docu.ilias.de
• ILIAS 9.24 release on GitHub github.com
• ILIAS 10.12 release on GitHub github.com
• VulnCheck CVE record mirror (vulners.com) vulners.com
• VulDB entry 420313 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:44.