axiomthemes Redy: PHP Object Injection durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Theme axiomthemes Redy bis einschliesslich Version 1.3.5 deserialisiert nicht vertrauenswürdige Daten (CWE-502), was PHP Object Injection ermöglicht. Laut CNA-Eintrag kann ein nicht authentifizierter Angreifer über das Netzwerk ohne Benutzerinteraktion eine präparierte Anfrage senden. Eine erfolgreiche Ausnutzung könnte die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen und je nach verfügbaren PHP-Klassen auf dem Zielsystem möglicherweise zur Codeausführung führen.
Betroffen
- WordPress-Theme Redy, Versionen bis einschliesslich 1.3.5
- Frühere Versionen: untere Grenze unbekannt (angegeben als 'n/a')
Behoben in
Unbekannt. Laut Patchstack ist kein offizieller Patch verfügbar. Prüfen Sie die Website des Herstellers und das Changelog des Themes, bevor Sie davon ausgehen, dass eine Version sicher ist.
Umgehung
- Dem Hersteller ist keine Workaround-Massnahme bekannt.
- Virtual Patching oder eine Web Application Firewall, die die verwundbaren Einstiegspunkte blockiert (zum Beispiel Mitigationsregeln von Patchstack).
- Zugriff auf den Admin-Bereich einschränken und auf unerwartete Dateien oder Admin-Konten prüfen.
- Vor jeder Änderung ein geprüftes Backup erstellen.
Ausnutzung
- Ausnutzungsstatus: nicht als aktiv ausgenutzt (KEV/ITW) bestätigt.
- Patchstack erwartet eine Ausnutzung, beschreibt dies aber als Prognose und nicht als beobachteten Angriff.
- In den geprüften Quellen wurde kein öffentlicher Proof-of-Concept gefunden.
- VDB stuft die Ausnutzung als einfach ein.
Unsere Empfehlung
- Ermitteln Sie alle Websites mit Redy, inklusive Staging-Kopien.
- Entfernen Sie das Theme oder wechseln Sie nach Möglichkeit zu einem gepflegten Theme.
- Falls das Theme bleiben muss, setzen Sie Virtual Patching ein und schränken Sie den Zugriff ein.
- Überwachen Sie, ob der Hersteller einen Fix veröffentlicht, und prüfen Sie die Patchstack- und NVD-Seiten erneut.
- Prüfen Sie Logs und Website-Dateien auf Anzeichen einer Kompromittierung.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: PHP Object Injection in WordPress Redy Theme patchstack.com
- Strix: CVE-2026-112855 www.strix.ai
- VulDB: CVE-2026-112855 vuldb.com
- CVE Threat Intelligence: CVE-2026-112855 cve.threatint.com
- HOL Guard: CVE-2026-112855 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.