Ultimate Member WordPress-Plugin: PHP Object Injection über unsichere Daten
Zusammenfassung
Das WordPress-Plugin Ultimate Member bis und mit Version 2.13.1 deserialisiert unsichere Daten (CWE-502), was PHP Object Injection ermöglicht. Gemäss Patchstack kann die Schwachstelle ohne Authentifizierung über das Netzwerk ausgenutzt werden. Ein Angreifer kann die Datenverarbeitung der Website manipulieren und möglicherweise schädliche Aktionen auf dem Server ausführen; die tatsächlichen Auswirkungen hängen vom auf der Website verfügbaren PHP-Code ab und wurden nicht bewertet. Der CVSS-Wert beträgt 9.8 (kritisch), und die Analyse durch die NVD war zum Zeitpunkt der Erstellung noch ausstehend.
Betroffen
- WordPress-Plugin Ultimate Member, Versionen bis und mit 2.13.1
- Früheste betroffene Version: Unbekannt.
Behoben in
- Auf Version 2.14.0 oder neuer aktualisieren. Es sollte die neueste verfügbare Version installiert werden (laut WordPress.org 2.14.1).
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Massnahme.
- Falls ein Patch nicht möglich ist, das Plugin deaktivieren, bis es aktualisiert wurde.
Ausnutzung
- Gemäss OffSeq und VulDB nicht als ausgenutzt bekannt.
- Laut VulDB ist kein öffentlicher Exploit verfügbar; die Suche nach öffentlichen Proofs of Concept war eingeschränkt.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Patchstack erwartet eine Ausnutzung und weist darauf hin, dass solche Schwachstellen in Massenangriffen eingesetzt werden.
Unsere Empfehlung
- Alle WordPress-Websites mit Ultimate Member erfassen und deren Versionen dokumentieren.
- Vorrangig auf die neueste 2.14.x-Version aktualisieren, zuerst bei aus dem Internet erreichbaren Websites.
- Falls ein Update nicht möglich ist, das Plugin deaktivieren.
- Vorsorglich Benutzerkonten und kürzliche Änderungen auf betroffenen Websites prüfen.
- Die Websites auf verdächtige Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: PHP Object Injection in Ultimate Member patchstack.com
- VulDB entry CVE-2026-115968 vuldb.com
- OffSeq threat radar entry CVE-2026-115968 radar.offseq.com
- Ultimate Member release notes on GitHub github.com
- Ultimate Member on WordPress.org wordpress.org
- WPScan: active exploitation of Ultimate Member (2023 background) wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.