Hallelujah WordPress-Theme: PHP Object Injection durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Theme Hallelujah von AxiomThemes bis und mit Version 1.1.1 enthält eine Deserialisierungsschwachstelle (CWE-502), die PHP Object Injection erlaubt. Ein nicht authentifizierter Angreifer kann über das Netzwerk manipulierte Daten an eine öffentliche Website senden, wodurch er die Anwendungslogik beeinflussen und je nach vorhandenem Code auf dem Installationsstand möglicherweise schädliche Aktionen auf dem Server ausführen kann. Der CVSS-Wert beträgt 9.8 (kritisch), und Patchstack stuft die Priorität als hoch ein.
Betroffen
- WordPress-Theme Hallelujah von AxiomThemes, Versionen bis und mit 1.1.1
- Beginn des betroffenen Bereichs: unbekannt (angegeben als "n/a")
Behoben in
Unbekannt. Es wurde keine Sicherheitsmitteilung des Herstellers oder eine korrigierte Version bestätigt.
Umgehung
- Es ist keine dokumentierte Massnahme verfügbar.
- Patchstack meldet eine Schutzregel, die Angriffe blockiert, bis ein offizieller Patch verfügbar ist, sofern Hosting oder Sicherheitslösung dies unterstützen.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden; VulDB meldet, dass kein Exploit verfügbar ist.
- Zum Zeitpunkt der Recherche nicht als aktiv ausgenutzt gekennzeichnet.
- Patchstack und die CISA-SSVC-Bewertung weisen auf eine automatisierbare Ausnutzung mit vollständiger technischer Auswirkung hin, und Patchstack erwartet Massenausnutzung.
- Die Ausnutzung erfordert weder Authentifizierung noch Benutzerinteraktion.
Unsere Empfehlung
- Alle WordPress-Installationen erfassen und prüfen, ob das Theme Hallelujah installiert ist, aktiv oder inaktiv.
- Installierte Version erfassen; Versionen bis 1.1.1 sind betroffen.
- Beim Hersteller und bei Patchstack nach einer bestätigten korrigierten Version suchen und diese sofort einspielen, sobald sie verfügbar ist.
- Falls kein Fix bestätigt ist, das Theme entfernen oder den öffentlichen Zugriff auf betroffene Websites einschränken.
- Webserver- und Anwendungslogs auf ungewöhnliche Anfragen prüfen sowie auf unerwartete Dateiänderungen oder Administratorkonten kontrollieren.
- NVD- und Patchstack-Einträge erneut prüfen, da der NVD-Status "Deferred" ist und sich Details ändern können.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB entry CVE-2026-112853 vuldb.com
- Vulners VulnCheck/Vulnrichment record vulners.com
- Vulners NVD record vulners.com
- HOL Guard CVE record hol.org
- CVE Threatint record cve.threatint.com
- AxiomThemes Hallelujah product page axiomthemes.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.