Gutentype WordPress-Theme: PHP Object Injection durch Deserialisierung unsicherer Daten
Zusammenfassung
Das WordPress-Theme Gutentype von ThemeREX Group deserialisiert in den Versionen bis und mit 2.1.12 unsichere Daten, was PHP Object Injection ermöglicht. Ein nicht authentifizierter Angreifer kann unter Umständen die Verarbeitung von Daten auf der Website manipulieren und schädliche Aktionen auf dem Server ausführen. Ob eine nutzbare Gadget-Kette existiert, ist in den Quellen nicht angegeben, daher ist der CVSS-Wert von 9.8 als Worst Case zu betrachten.
Betroffen
- Gutentype WordPress-Theme von n/a bis und mit 2.1.12 (untere Grenze unklar, alle früheren Versionen sind anzunehmen als betroffen)
Behoben in
- Unbekannt. Keine vom Hersteller oder von Patchstack bestätigte korrigierte Version.
- Neuere Versionen (2.1.13, 2.1.14) existieren, aber keine Quelle bestätigt, dass sie diese Schwachstelle beheben.
Umgehung
- Unbekannt. Kein Workaround des Herstellers oder von Patchstack gefunden.
- Patchstack hat eine Schutzregel veröffentlicht, die Angriffe blockiert, bis ein offizieller Patch verfügbar ist (gemäss Patchstack-Eintrag, nur über deren Dienst nutzbar).
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Exploitation none, Automatable yes, Technical Impact total.
- Patchstack hält eine Ausnutzung für wahrscheinlich, dies ist jedoch kein Nachweis einer Ausnutzung.
Unsere Empfehlung
- Alle Websites mit dem Gutentype-Theme ermitteln, einschliesslich Staging- und vergessener Websites, und die installierte Version erfassen.
- Den Zugriff auf den Admin-Bereich und auf nicht benötigte Endpunkte einschränken.
- WordPress-Core und alle Plugins aktuell halten, um das Risiko einer nutzbaren Gadget-Kette zu verringern.
- Falls verfügbar, einen Virtual Patch oder eine Schutzregel über einen WordPress-Sicherheitsdienst einsetzen.
- Ein Backup erstellen und die Ablösung des Themes planen, falls keine Korrektur bestätigt wird.
- Prüfen, ob die Website bereits kompromittiert wurde.
- Den Patchstack-Eintrag und das Changelog des Herstellers auf eine Korrektur überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-62046 patchstack.com
- OpenCVE CVE-2026-62046 app.opencve.io
- VulDB 416135 vuldb.com
- ThemeForest Gutentype listing themeforest.net
- ThemeREX Gutentype download page themerex.net
- HOL Guard CVE-2026-62046 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.