ThemeREX Hygia-Theme: PHP-Objektinjektion durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Theme Hygia der ThemeREX Group in den Versionen bis und mit 1.21.0 deserialisiert unsichere Daten. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann PHP-Objekte einschleusen, wodurch die serverseitige Verarbeitung manipuliert und je nach verfügbaren Klassen auf dem Server weiterer schädlicher Code ausgeführt werden kann. Die CNA stuft die Lücke als kritisch ein (CVSS 9.8), und Patchstack erwartet Massenausnutzung.
Betroffen
- Hygia-Theme für WordPress, Versionen von n/a bis einschliesslich 1.21.0
- Untere Grenze des betroffenen Bereichs: Unbekannt.
Behoben in
- Unbekannt. Eine gepatchte Version wurde von Hersteller oder den geprüften Quellen nicht bestätigt.
- Version 1.24.0 ist auf der ThemeREX-Seite aufgeführt, ist aber nicht bestätigt, dass sie die Korrektur enthält.
Umgehung
- Keine Workaround des Herstellers gefunden.
- Patchstack bietet möglicherweise einen Virtual Patch (Mitigation-Regel) an; fragen Sie Ihren Hosting-Anbieter oder WAF-Anbieter, ob einer verfügbar ist.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Patchstack erwartet Ausnutzung; EPSS etwa 0.003; zum Zeitpunkt der Prüfung nicht im CISA KEV gelistet.
- Kein öffentlicher Proof-of-Concept bestätigt.
- Nicht authentifiziert und aus dem Netzwerk erreichbar, keine Benutzerinteraktion erforderlich.
Unsere Empfehlung
- Prüfen Sie, ob eine Hygia-Installation in Version 1.21.0 oder älter vorhanden ist, und behandeln Sie diese als verwundbar.
- Aktualisieren Sie auf eine als korrigiert verifizierte Version; falls keine bestätigt ist, wenden Sie einen Virtual Patch über Hosting-Anbieter oder WAF an.
- Erstellen Sie ein vollständiges Backup und prüfen Sie Administratorkonten und kürzlich geänderte Dateien auf Anzeichen einer Kompromittierung.
- Beschränken Sie den Zugriff auf Admin- und sensible Endpunkte, wo möglich.
- Überwachen Sie die Webserver-Logs auf verdächtige Anfragen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: WordPress Hygia theme <= 1.21.0 PHP Object Injection patchstack.com
- Vulners CVE record CVE-2026-93937 vulners.com
- VulDB CVE-2026-93937 vuldb.com
- ThemeREX Hygia product page themerex.net
- ThemeREX documentation education.themerex.net
- Strix AI CVE-2026-93937 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.