AxiomThemes Kicker: Nicht authentifizierte PHP Object Injection im WordPress-Theme
Zusammenfassung
Das WordPress-Theme Kicker in den Versionen bis und mit 2.2.1 enthält eine nicht authentifizierte PHP Object Injection (CWE-502). Ein Angreifer kann über das Netzwerk ohne Anmeldung manipulierte serialisierte Daten senden, wodurch die serverseitige Verarbeitung beeinflusst, ein Denial of Service oder je nach installiertem Code auch eine Remote Code Execution möglich sein kann. Patchstack und NVD stufen die Schwachstelle als kritisch ein (CVSS 9.8), zum Zeitpunkt der Erstellung wurde jedoch weder eine bestätigte korrigierte Version noch eine aktive Ausnutzung oder ein öffentlicher Proof of Concept gefunden.
Betroffen
- Kicker WordPress-Theme, Versionen bis und mit 2.2.1
- Versionen vor 2.2.1 sind gemäss CVE-Eintrag im betroffenen Bereich enthalten
Behoben in
- Unbekannt. Es wurde keine vom Hersteller bestätigte korrigierte Version gefunden.
- Version 2.2.2 (Changelog vom 21.05.2026) nennt die Behebung einer möglichen Object Injection beim unserialize, verweist jedoch nicht auf diese CVE und ist nicht als Korrektur bestätigt.
Umgehung
- Das Kicker-Theme deaktivieren und löschen, falls es nicht benötigt wird.
- Es wurde keine herstellerspezifische oder WAF-basierte Massnahme identifiziert.
- Patchstack meldet eine Mitigation-Regel, die Angriffe blockiert, bis ein offizieller Patch verfügbar ist; dafür ist ein Patchstack-Abonnement erforderlich.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn. CISA SSVC listet Exploitation: none, Automatable: yes, Technical Impact: total.
- Kein öffentlicher Proof of Concept gefunden.
- Nicht authentifiziert und über das Netzwerk erreichbar, mit niedriger Angriffskomplexität gemäss CVSS-Vektor.
Unsere Empfehlung
- Alle WordPress-Seiten mit Kicker identifizieren, einschliesslich agenturverwalteter und Staging-Seiten.
- Installierte Version prüfen; 2.2.1 oder älter sowie unbekannte Versionen als verwundbar behandeln.
- Falls das Theme nicht benötigt wird, deaktivieren und löschen.
- Falls es benötigt wird, vor dem Update eine schriftliche Bestätigung der korrigierten Version von AxiomThemes einholen.
- Nulled- oder inoffizielle Kopien durch eine lizenzierte Version ersetzen.
- Herstellerhinweise und Änderungen des CISA-Ausnutzungsstatus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory for Kicker <= 2.2.1 patchstack.com
- OpenCVE CVE-2026-66569 app.opencve.io
- Vulners Rapid7 CVE-2026-66569 vulners.com
- HOL Guard CVE-2026-66569 hol.org
- ThemeForest Kicker (changelog) themeforest.net
- AxiomThemes Kicker documentation kicker.axiomthemes.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.