PX-lab Zombify WordPress-Plugin: Unbeschränkter Datei-Upload führt zu Web-Shell-Upload

Zusammenfassung

Das WordPress-Plugin Zombify bis und mit Version 1.7.7 erlaubt nicht authentifizierten Angreifern, Dateien mit gefährlichen Typen, etwa PHP-Web-Shells, auf den Webserver hochzuladen. Die CNA Patchstack vergibt CVSS 10.0 (kritisch). Ein öffentlicher Proof-of-Concept-Exploit existiert, und der Hersteller hat keine korrigierte Version bestätigt, daher kann ein Angreifer betroffene Websites wahrscheinlich ohne Login übernehmen.

Betroffen

• Zombify WordPress-Plugin, alle Versionen bis und mit 1.7.7
• Das Plugin kann in Themes gebündelt sein, zum Beispiel BoomBox (auch Theme-Pakete prüfen)

Behoben in

Unbekannt. Es wurde keine korrigierte Version bestätigt. Nicht davon ausgehen, dass 1.7.6 oder eine neuere Version sicher ist; Prüfung bei PX-lab oder auf WordPress.org.

Umgehung

• Zombify-Plugin deaktivieren und entfernen, falls es nicht benötigt wird
• PHP-Ausführung in Upload-Verzeichnissen blockieren
• Upload- und Plugin-Ordner auf unerwartete PHP-Dateien prüfen
• Neuregistrierung von Benutzern einschränken, bis das Problem behoben ist
• Prüfen, ob eine WAF- oder Virtual-Patching-Regel für diese CVE verfügbar ist (unbekannt)

Ausnutzung

• Öffentlicher Proof-of-Concept-Exploit: ja (GitHub, veröffentlicht um den 10. Oktober 2026)
• Aktive Ausnutzung in freier Wildbahn: nicht bestätigt
• Status im CISA KEV: unbestätigt; im CISA-KEV-Katalog und bei VulnCheck prüfen
• EPSS 0.00282 (niedrig, automatisch generiert)

Unsere Empfehlung

• Alle WordPress-Websites auf Zombify prüfen, auch innerhalb von Theme-Paketen
• Zombify entfernen oder deaktivieren, wo es nicht benötigt wird
• Falls es benötigt wird, Schutzmassnahmen anwenden und Änderungen überwachen, bis eine offizielle Korrektur bestätigt ist
• Websites auf Web-Shells und unerwartete PHP-Dateien prüfen; bei Fund die Website als kompromittiert behandeln
• Bei der Betreuung mehrerer Kundenwebsites die Inventarprüfung priorisieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Wayang1337/CVE-2026-94503

Quellen der Recherche

• Patchstack advisory for CVE-2026-94503 patchstack.com
• Public proof-of-concept repository github.com
• VulDB entry 415797 vuldb.com
• Patchstack Zombify vulnerability list patchstack.com
• PX-lab BoomBox changelog documentation.px-lab.com
• Strix CVE details www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:31.