EspoCRM: Authentifizierte RCE durch unsichere PHP-Objekt-Deserialisierung

Zusammenfassung

EspoCRM-Versionen vor 9.3.7 deserialisieren manipulierte PHP-Objektdaten, die in Hintergrundparametern von MassAction und Export gespeichert sind, ohne erlaubte Klassen einzuschränken. Ein authentifizierter Administrator kann dies nutzen, um beliebige Objekte zu instanziieren und Code auf dem Server auszuführen. Die NVD bewertet die Lücke mit CVSS 9.1 (Critical) und geänderter Scope, der Angreifer benötigt jedoch bereits Administratorrechte.

Betroffen

• EspoCRM-Versionen vor 9.3.7
• Selbst gehostete Installationen, einschliesslich Docker- und Cloudron-Installationen

Behoben in

• Auf EspoCRM 9.3.7 oder neuer aktualisieren (die Releases-Seite listet 9.3.8 als neuer; die aktuelle 9.3.x-Version wurde nicht verifiziert)

Umgehung

• Keine Workaround des Herstellers dokumentiert. Unbekannt, ob einer veröffentlicht wurde.

Ausnutzung

• Nicht in der CISA KEV aufgeführt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Bisher kein öffentlicher Exploit und keine Berichte über Angriffe in freier Wildbahn gefunden; EPSS etwa 0.004.

Unsere Empfehlung

• Alle EspoCRM-Instanzen inventarisieren, einschliesslich Docker- und Cloudron-Installationen, und deren Versionen erfassen.
• Jede Instanz unter 9.3.7 auf die aktuelle 9.3.x-Version aktualisieren.
• Bis zur Aktualisierung die Anzahl der Administratorkonten begrenzen, MFA für Administratoren erzwingen und den Administratorzugriff auf VPN oder vertrauenswürdige IP-Adressen beschränken.
• Kürzliche Hintergrundaktivitäten von MassAction und Export auf Auffälligkeiten prüfen.
• Prüfen, ob eine Instanz aus dem Internet erreichbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-7q78-jjr9-mqcg github.com
• EspoCRM release 9.3.7 github.com
• Fix commit f48d1d2 github.com
• OpenCVE CVE-2026-47168 app.opencve.io
• Strix CVE-2026-47168 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:32.