e107 CMS: Unauthentifizierte Remote Code Execution durch unsichere Deserialisierung im Installer

Zusammenfassung

e107-Versionen vor 2.3.7 deserialisieren in install.php vom Angreifer kontrollierte Daten ohne Einschränkung der erlaubten Klassen. Der Installer bleibt nach einer regulären Installation erreichbar, sodass ein nicht authentifizierter Angreifer, der die Datei erreichen kann, mit einer präparierten Objektkette über die mitgelieferte Klasse GuzzleHttp PumpStream beliebige PHP-Funktionen ausführen kann. Der Angreifer erhält dabei die Rechte des Webserver-Prozesses, was zu einer vollständigen Kompromittierung des Servers führen kann.

Betroffen

• e107-Versionen vor 2.3.7 (VulDB beschreibt den Bereich als bis 2.3.6)

Behoben in

• Aktualisierung auf e107 2.3.7 oder, vorzugsweise, auf die neueste Version (der Release-Index des Herstellers bezeichnet v2.3.8 für Sites mit 2.3.7 oder älter als dringend; aktuelle Version auf der Herstellerseite prüfen)

Umgehung

• install.php auf installierten Sites löschen (die vom Hersteller genannte Massnahme)
• Falls ein Löschen nicht möglich ist, den Zugriff auf install.php auf dem Webserver sperren
• Netzwerkzugriff auf den Webserver wo möglich einschränken

Ausnutzung

• CVSS 9.8 (CRITICAL); CISA SSVC: Exploitation-Status PoC, automatisierbar ja, technische Auswirkung total
• Keine bekannte Ausnutzung in freier Wildbahn; kein öffentlicher Exploit gefunden, die Gadget-Kette wird jedoch öffentlich in allgemeiner Form beschrieben
• Laut einem Drittanbieter-Tracker nicht im CISA KEV gelistet (nicht gegen den Katalog verifiziert)

Unsere Empfehlung

• Sofort prüfen, ob eine e107-Site mit einer Version unter 2.3.7 betrieben wird
• Auf die neueste e107-Version aktualisieren, nicht nur auf 2.3.7
• install.php auf allen Produktivsystemen löschen oder den Zugriff blockieren
• Webserver-Logs auf Anfragen an install.php mit dem POST-Parameter previous_steps prüfen
• Sites auf unerwartete Dateien oder Änderungen prüfen und bei Verdacht auf Kompromittierung Datenbank- und Server-Zugangsdaten erneuern

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-c8h6-wpj3-4cr8 github.com
• e107 v2.3.7 release github.com
• Fix commit 5d6d649 github.com
• Fix commit 6c40429 github.com
• e107 release index github.com
• e107 v2.3.13 release github.com
• VulDB entry 420282 vuldb.com
• OpenCVE CVE-2026-55573 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:56.