IPharm WordPress-Theme: PHP Object Injection durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Theme IPharm (ThemeREX Group, Versionen bis einschliesslich 1.2.4) enthält eine unsichere Deserialisierung, die PHP Object Injection ermöglicht. Laut Patchstack kann die Schwachstelle über das Netzwerk ohne Anmeldung ausgenutzt werden; ein Angreifer kann dabei die Datenverarbeitung der Website manipulieren und schädliche Aktionen auf dem Server ausführen. Das Theme wird für Online-Apotheken und Medizinshops eingesetzt, weshalb eine Kompromittierung auch Kunden- und Gesundheitsdaten gefährden kann.
Betroffen
- IPharm-Theme-Versionen bis einschliesslich 1.2.4
- Untere Grenze der betroffenen Versionen nicht veröffentlicht (NVD: 'from n/a')
Behoben in
Unbekannt. Es wurde weder eine Herstellerwarnung noch eine bestätigte korrigierte Version gefunden. Version 1.2.5 (Changelog vom 13.03.2026) ist nicht bestätigt als Korrektur dieser CVE.
Umgehung
- Keine bestätigte Workaround-Massnahme des Herstellers.
- Patchstack meldet eine Mitigationsregel, die Angriffe blockiert, bis ein offizieller Patch verfügbar ist (erfordert ein Patchstack-Abonnement).
- Zugriff auf Admin- und sensible Endpunkte einschränken.
- Eine Web Application Firewall vor der Website betreiben.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.
- Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt.
- Nicht im CISA-KEV-Katalog (laut Strix). EPSS etwa 0.003.
Unsere Empfehlung
- Prüfen, ob IPharm installiert ist und welche genaue Version aktiv ist.
- Bei Version 1.2.4 oder älter ein Update oder einen Ersatz planen und mit Patchstack oder dem Hersteller bestätigen lassen, dass die neue Version diese CVE behebt.
- Ist das Theme nicht in Gebrauch, es entfernen.
- Weitere ThemeREX-Themes im Einsatz prüfen, da im selben Batch ähnliche CVEs veröffentlicht wurden.
- Auf Herstellerwarnungen, unerwartete Dateiänderungen sowie Änderungen bei EPSS oder KEV achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: WordPress IPharm theme <= 1.2.4 - PHP Object Injection patchstack.com
- OpenCVE: CVE-2026-93936 app.opencve.io
- ThemeForest: IPharm theme listing and changelog themeforest.net
- Strix: CVE-2026-93936 www.strix.ai
- Vulners (Rapid7): CVE-2026-93936 vulners.com
- WPScan: related IPharm entry wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.