Kirki WordPress-Plugin: PHP-Object-Injection führt zur Übernahme von Administratorkonten

Zusammenfassung

Das Kirki-Plugin für WordPress, das zur Theme-Anpassung und als visueller Seitenersteller dient, ist in allen Versionen bis einschliesslich 6.2.5 betroffen. Ein authentifizierter Angreifer mit mindestens Subscriber-Zugriff kann über den AJAX-Endpunkt 'get-single-symbol' eine präparierte Anfrage senden, die nicht vertrauenswürdige Eingaben deserialisiert, weil eine Berechtigungsprüfung fehlt. Ist auf der Website eine PHP-Objektkette vorhanden, kann der Angreifer das Passwort eines Administrators überschreiben und das Administratorkonto übernehmen.

Betroffen

• Kirki-WordPress-Plugin (Freeform Page Builder, Website Builder & Customizer), alle Versionen bis einschliesslich 6.2.5
• Erfordert ein authentifiziertes Konto mit der Rolle Subscriber oder höher

Behoben in

Unbekannt. Die korrigierte Version konnte nicht bestätigt werden. Die Wordfence-Meldung und der WordPress-Plugin-Changeset auf die erste korrigierte Version prüfen.

Umgehung

• Unbekannt. Kein vom Hersteller bestätigter Workaround.
• Den betroffenen AJAX-Handler vorübergehend auf Administratoren beschränken oder das Kirki-Plugin deaktivieren, falls es nicht benötigt wird.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung derzeit nicht bekannt, nicht automatisierbar, technische Auswirkung total.
• EPSS-Wert 0.31 % (Perzentil 23) zum Zeitpunkt der Recherche.
• Einige Aggregatoren nennen öffentliche Proof-of-Concept-Hinweise; deren Zuverlässigkeit wurde nicht geprüft.

Unsere Empfehlung

• Alle WordPress-Websites mit Kirki identifizieren, einschliesslich Kopien, die in Themes oder Plugins eingebettet sind.
• Kirki auf eine Version neuer als 6.2.5 aktualisieren, sobald eine korrigierte Version aus dem Hersteller-Changeset bestätigt ist.
• Bis dahin nicht benötigte Subscriber-Konten entfernen, die Registrierung einschränken und Kirki deaktivieren, falls es nicht unverzichtbar ist.
• Administratorkonten und Passwörter auf unerwartete Änderungen prüfen und AJAX-Anfragen an kirki_post_apis überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• WordPress plugin changeset plugins.trac.wordpress.org
• WordPress.org Kirki plugin page wordpress.org
• Kirki CHANGELOG (Themeum) github.com
• CVE-2026-75891 on OpenCVE app.opencve.io
• CVE-2026-75891 on THN/TheHackerWire www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:16.