FunnelKit Automations: Unauthentifizierte PHP Object Injection im WordPress-Plugin
Zusammenfassung
FunnelKit Automations, ein WordPress-Plugin für Marketing-Automatisierung und CRM, enthält eine Deserialisierungsschwachstelle (CWE-502), die PHP Object Injection ermöglicht. Der verwundbare Pfad erfordert keine Anmeldung, daher kann ein nicht authentifizierter Angreifer aus der Ferne potenziell Code auf dem Server ausführen oder Daten manipulieren, auf Websites mit betroffenen Versionen. Die CNA bewertet das Problem mit 9.8 (kritisch), VulDB mit 7.3; Patchstack erwartet eine Ausnutzung, bekannte Ausnutzung besteht per 1. Nov. 2026 jedoch nicht.
Betroffen
- FunnelKit Automations (wp-marketing-automations) bis einschliesslich Version 3.8.6.1
- Quelle für Hersteller und Versionen: Patchstack und CVE-Eintrag
Behoben in
- Version 3.8.6.2 (gemäss Patchstack und Positive Technologies; Changelog des Herstellers noch nicht bestätigt)
Umgehung
- Dem Hersteller ist keine Workaround-Massnahme bekannt.
- Falls kein Update möglich ist: Plugin deaktivieren und entfernen oder den Zugriff auf REST-API und Admin-Pfade auf Webserver- oder WAF-Ebene einschränken (nicht für diese Schwachstelle verifiziert).
Ausnutzung
- Keine bekannte Ausnutzung (Stand 1. Nov. 2026).
- Nicht im CISA-KEV-Katalog aufgeführt (Stand 30. Okt. 2026).
- Kein öffentlicher Proof of Concept in Metasploit, Exploit-DB oder nuclei-templates gefunden (Momentaufnahme vom 30. Okt. 2026).
- CISA SSVC: Automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- FunnelKit Automations auf Version 3.8.6.2 oder neuer aktualisieren, sobald die Korrektur bestätigt ist, idealerweise innerhalb weniger Tage.
- Prüfen, auf welchen Websites das Plugin läuft, inklusive Test- und Staging-Systemen.
- Web-Server- und Anwendungslogs seit der öffentlichen Bekanntgabe auf ungewöhnliche POST-Anfragen an die Endpunkte des Plugins prüfen.
- Patchstack-Advisory, CISA KEV und NVD auf Aktualisierungen zur Ausnutzung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- WordPress.org plugin page wordpress.org
- VulDB entry vuldb.com
- OffSeq radar (exploitation and PoC check) radar.offseq.com
- Positive Technologies (Vulners) PT-2026-133778 vulners.com
- CVE mirror cve.threatint.com cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:20.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.