ThemeREX Equadio WordPress-Theme: PHP Object Injection ohne Authentifizierung
Zusammenfassung
Das WordPress-Theme Equadio bis und mit Version 1.1.4 enthält eine PHP Object Injection Schwachstelle ohne Authentifizierung (CWE-502). Ein Angreifer aus dem Internet kann über manipulierte Eingaben eine verwundbare Website angreifen, was je nach verfügbaren PHP-Klassen auf dem Server zu Codeausführung, Datendiebstahl oder Betriebsstörungen führen kann. Der CVSS-Wert 9.8 wurde vom CNA Patchstack vergeben; NVD hat den Eintrag noch nicht analysiert, und eine Ausnutzung oder ein öffentlicher Proof of Concept ist nicht bestätigt.
Betroffen
- WordPress-Theme Equadio (ThemeREX) Version 1.1.4 und frühere
- Child-Themes und Kopien des Themes auf Staging-Systemen sind möglicherweise ebenfalls betroffen
Behoben in
- Version 1.1.5 wird von Patchstack und der ThemeForest-Seite als behobene Version angegeben; noch nicht durch das Changelog des Herstellers bestätigt. Vor dem Rollout prüfen.
- Der HOL-Guard-Feed nennt keine behobene Version.
Umgehung
- Kein bekannter Workaround des Herstellers.
- Falls das Theme nicht genutzt wird, deaktivieren und entfernen.
- Zugriff auf die Website und die Admin-Pfade nach Möglichkeit einschränken.
- Bis zur Aktualisierung eine WAF oder einen Virtual Patch (zum Beispiel von Patchstack) einsetzen.
Ausnutzung
- CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung total.
- Nicht im CISA-KEV-Katalog; keine bestätigte Ausnutzung bekannt.
- EPSS 0.00375 (Vulners).
- Öffentlicher Proof of Concept: unbekannt, nicht bestätigt, dass keiner existiert.
Unsere Empfehlung
- Alle WordPress-Websites mit dem Equadio-Theme inventarisieren, inklusive Child-Themes und Staging-Systemen.
- Nach Prüfung des Fixes auf Version 1.1.5 oder neuer aktualisieren, oder das Theme entfernen, falls es nicht genutzt wird.
- Falls das Update nicht sofort möglich ist, eine WAF oder einen Virtual Patch einsetzen.
- Betroffene Websites auf Anzeichen einer Kompromittierung prüfen, etwa unbekannte Dateien, zusätzliche Admin-Benutzer oder unerwartete PHP-Aktivität.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE record CVE-2026-62087 app.opencve.io
- HOL Guard CVE entry hol.org
- Vulners RAPID7 entry (EPSS) vulners.com
- ThemeForest Equadio listing themeforest.net
- ThemeREX Equadio product page themerex.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.