ThemeREX ShiftCV: PHP Object Injection in WordPress-Theme
Zusammenfassung
Das WordPress-Theme ShiftCV von ThemeREX in den Versionen bis einschliesslich 3.0.14 enthält eine PHP-Object-Injection-Schwachstelle (CWE-502) bei der Verarbeitung serialisierter Daten. Die Schwachstelle lässt sich ohne Authentifizierung über das Netzwerk auslösen, wodurch ein Angreifer die Datenverarbeitung der Website manipulieren könnte. Patchstack und die CISA-SSVC-Bewertung stufen die Auswirkung als total ein; Codeausführung ist je nach installiertem Code möglich, aber nicht bestätigt.
Betroffen
- WordPress-Theme ShiftCV von ThemeREX, Versionen bis einschliesslich 3.0.14
- Standardkonfiguration: nicht betroffen (gemäss CNA-Eintrag)
Behoben in
- Unbekannt. Patchstack nennt keinen offiziellen Patch. Die Recherchenotizen erwähnen Version 3.0.15 aus einer sekundären Quelle; dies ist vom Hersteller nicht bestätigt.
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
- Patchstack hat eine Schutzregel (Virtual Patch) veröffentlicht, die Angriffe blockiert, bis ein offizieller Patch verfügbar ist.
- Wenn das Theme nicht aktiv ist, beseitigt das Entfernen oder Deaktivieren die Exposition.
Ausnutzung
- Nicht als aktiv ausgenutzt markiert (nicht im CISA-KEV-Katalog, gemäss Recherchenotizen).
- CISA SSVC im CNA-Eintrag: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Patchstack beschreibt die Schwachstelle als voraussichtlich ausgenutzt und in Massenangriffen eingesetzt.
- EPSS: 0.00304.
- Kein öffentlicher Proof of Concept gefunden; als unbekannt, nicht als nicht vorhanden behandeln.
Unsere Empfehlung
- WordPress-Websites inventarisieren und die installierte ShiftCV-Version unter Design > Themes prüfen.
- Das Theme auf Websites entfernen oder deaktivieren, auf denen es nicht benötigt wird.
- Wo das Theme benötigt wird und kein offizieller Patch existiert, eine WAF- oder Patchstack-Schutzregel anwenden und Logs überwachen.
- Exponierte Websites auf Kompromittierungsanzeichen prüfen: unerwartete Administratorkonten, veränderte Dateien, unbekannte PHP-Dateien in Uploads.
- Hosting und Backups prüfen und nach Veröffentlichung einer korrigierten Version durch den Hersteller aktualisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory (CNA) patchstack.com
- OpenCVE CVE-2026-66564 app.opencve.io
- VulDB CVE-2026-66564 vuldb.com
- Vulners (Rapid7) CVE-2026-66564 with EPSS vulners.com
- HOL Guard CVE-2026-66564 hol.org
- ThemeREX ShiftCV product page themerex.net
- ShiftCV on ThemeForest themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:28.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.