The Events Calendar WordPress-Plugin: PHP Object Injection durch unsichere Daten
Zusammenfassung
Das WordPress-Plugin The Events Calendar bis einschliesslich Version 6.17.4 verarbeitet nicht vertrauenswürdige Daten unsicher, wodurch PHP Object Injection möglich ist. Patchstack stuft die Lücke als ohne Authentifizierung ausnutzbar ein und bewertet sie mit CVSS 9.8 (kritisch). Ein Angreifer kann dadurch die Datenverarbeitung manipulieren und schädliche Aktionen auf dem Webserver ausführen; ein verwandter Eintrag für denselben Versionsbereich beschreibt Remote Code Execution.
Betroffen
- The Events Calendar (WordPress-Plugin) von n/a bis 6.17.4
- Standardkonfiguration: laut CNA-Angaben nicht betroffen, da nur der betroffene Bereich aufgeführt wird
Behoben in
- Aktualisierung auf 6.17.4.1 oder neuer (kleinste bekannte korrigierte Version laut Patchstack und Sekundärberichten)
- Unbekannt: ob 6.17.4.1 CVE-2026-95606 vollständig behebt; eine Sekundärquelle nennt 6.17.5 oder neuer, was nicht verifiziert werden konnte
Umgehung
- Kein bekannter Workaround des Herstellers; die Lösung ist ein Update.
- Übergangsmassnahme (nicht vom Hersteller): Kommentare auf Veranstaltungsseiten deaktivieren, bis gepatcht wurde, da eine verwandte Exploit-Kette Kommentare benötigt.
- Eine WAF-Regel, die serialisierte PHP-Objekt-Payloads blockiert, kann nur als vorübergehende Massnahme dienen.
Ausnutzung
- VulDB und CISA SSVC melden für CVE-2026-95606 selbst keine bekannte Ausnutzung; CISA SSVC bewertet die Lücke als automatisierbar.
- Ein verwandter Eintrag (CVE-2026-78006) für denselben Versionsbereich wird als aktiv in freier Wildbahn ausgenutzt gemeldet, und für ihn existiert ein öffentlicher Proof-of-Concept.
- Patchstack beschreibt die Lücke als wahrscheinlich für Massenkampagnen ausgenutzt.
Unsere Empfehlung
- Die Plugin-Version auf allen WordPress-Websites jetzt prüfen.
- The Events Calendar auf 6.17.4.1 oder eine später im StellarWP-Changelog bestätigte Version aktualisieren.
- Bis zur Aktualisierung Kommentare auf Veranstaltungsseiten nach Möglichkeit deaktivieren und eine WAF-Regel als Übergangslösung in Betracht ziehen.
- Webserver-Logs auf verdächtige POST-Anfragen an Veranstaltungs- und Kommentar-Endpunkte prüfen, falls das Plugin vor dem Patchen erreichbar war.
- Prüfen, ob die Website kompromittiert wurde, z. B. anhand unbekannter Dateien oder Administratorkonten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB CVE-2026-95606 vuldb.com
- VulDB exploit status vuldb.com
- OpenCVE CVE-2026-95606 app.opencve.io
- Security Online: related CVE-2026-78006 exploitation securityonline.info
- Patchstack plugin vulnerabilities list patchstack.com
- WPScan The Events Calendar wpscan.com
- HOL Guard CVE-2026-78006 advisory hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.