ThemeREX Hogwords: PHP-Objektinjektion durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Theme Hogwords bis einschliesslich Version 1.2.7 deserialisiert nicht vertrauenswürdige Daten ohne ausreichende Validierung (CWE-502). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann präparierte serialisierte Daten an die Website senden, was eine PHP-Objektinjektion und die Manipulation der serverseitigen Verarbeitung ermöglichen kann. Die Ausnutzbarkeit hängt von anderen installierten Plugins oder Bibliotheken ab, die nutzbare Klassen bereitstellen; es sind weder öffentliche Exploits noch Ausnutzungen in freier Wildbahn gemeldet.
Betroffen
- ThemeREX Group Hogwords WordPress-Theme, Versionen bis einschliesslich 1.2.7
- Untere Grenze der betroffenen Versionen: nicht angegeben (n/a)
Behoben in
- Unbekannt. Zum Zeitpunkt der Recherche wurde keine korrigierte Version und kein Herstellerpatch bestätigt.
Umgehung
- Theme deaktivieren oder ersetzen, falls keine Korrektur verfügbar ist.
- Web Application Firewall oder Virtual Patch anwenden, zum Beispiel eine Patchstack-Mitigationsregel, sofern die Website abgedeckt ist.
- Zugriff auf die Website einschränken und überwachen sowie Logs auf ungewöhnliche serialisierte Daten in Anfragen prüfen.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Prüfen, ob Websites das Hogwords-Theme verwenden, und deren Version ermitteln.
- Falls das Theme im Einsatz ist, die Website als hoch prioritär behandeln: Theme deaktivieren oder ersetzen bzw. bis zur Bestätigung einer Korrektur einen Virtual Patch anwenden.
- Das Patchstack-Advisory und das Changelog von ThemeREX auf eine korrigierte Version überwachen und diese zeitnah einspielen.
- Webserver-Logs auf verdächtige serialisierte Daten in Anfragen prüfen und auf Anzeichen einer Kompromittierung untersuchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-93938 patchstack.com
- OpenCVE CVE-2026-93938 app.opencve.io
- VulDB CVE-2026-93938 vuldb.com
- Vulners CVE list entry CVE-2026-93938 vulners.com
- ThemeREX Hogwords theme page themerex.net
- ThemeREX Updater plugin (Pluginizer) pluginizer.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:50.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.