Filmax WordPress-Theme: PHP Object Injection-Schwachstelle
Zusammenfassung
Das WordPress-Theme Filmax bis einschliesslich Version 1.1.11 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung ausgenutzt werden kann. Ein entfernter Angreifer kann präparierte Eingaben senden, um die Verarbeitung serialisierter Daten zu manipulieren, was zu schädlichen Aktionen auf dem Server führen kann. Ob daraus eine Codeausführung entsteht, hängt davon ab, ob in der installierten WordPress-Umgebung eine nutzbare Gadget-Kette vorhanden ist.
Betroffen
- WordPress-Theme Filmax, Versionen bis einschliesslich 1.1.11
- Benötigte Berechtigung: keine (nicht authentifiziert)
- CVSS 3.1: 9.8 (CRITICAL) laut CNA; VulDB bewertet mit 7.3
Behoben in
Unbekannt. Zum Zeitpunkt der Recherche wurde weder eine korrigierte Version noch eine Herstellerwarnung gefunden.
Umgehung
- Patchstack meldet eine Schutzregel, die Angriffe blockiert, bis ein offizieller Patch verfügbar ist; dafür ist ein Patchstack-Abonnement nötig.
- Den Zugriff auf betroffene Websites wo möglich einschränken und WAF-Schutz einsetzen.
- Eine vorübergehende Deaktivierung oder der Ersatz des Themes ist in Betracht zu ziehen; ein Themenwechsel ist die einzige vollständig wirksame Massnahme, solange kein Patch existiert.
Ausnutzung
- Es wurde kein öffentlicher Proof of Concept und keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- VulDB gibt an, dass kein Exploit existiert.
- Nicht im CISA-KEV-Katalog gelistet; ein EPSS-Wert ist noch nicht veröffentlicht.
- Patchstack geht davon aus, dass eine Ausnutzung zu erwarten ist, und weist darauf hin, dass ähnliche Schwachstellen in Massenangriffen eingesetzt werden.
Unsere Empfehlung
- Alle WordPress-Websites auf das Filmax-Theme und dessen Version prüfen.
- Wo Version 1.1.11 oder älter installiert ist, einen Ersatz für das Theme planen, da keine Korrektur verfügbar ist.
- Bis dahin den Zugriff einschränken, WAF oder virtuelles Patching aktivieren und die Logs auf verdächtige Anfragen überwachen.
- Die Seiten des Herstellers und von Patchstack regelmässig auf eine korrigierte Version prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: WordPress Filmax theme <= 1.1.11 PHP Object Injection patchstack.com
- ThemeForest listing: Filmax (ThemeREX) themeforest.net
- VulDB entry 428547 vuldb.com
- Vulners: CVE-2026-62009 vulners.com
- Vulners: Patchstack entry PATCHSTACK:1FAD8F7A294D64892DD2278A0C806DF4 vulners.com
- CVE Threat Intelligence: CVE-2026-62009 cve.threatint.com
- Strix: CVE-2026-62009 www.strix.ai
- GitHub triage entry CVE-2026-62009 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.