🔴 CVE-2026-57621: Critical Schwachstelle

Zusammenfassung

Die Schwachstelle CVE-2026-57621 betrifft das Booktics-Plugin in Versionen bis 1.0.21 und ermöglicht eine unauthentifizierte PHP Object Injection. Mit einem CVSS-Score von 9.8 handelt es sich um eine kritische Sicherheitslücke, die Remote Code Execution (RCE) ermöglicht. Bislang ist kein offizieller Patch verfügbar.

Betroffene Systeme

Betroffen sind Installationen des Booktics-Plugins in den Versionen:

• Booktics <= 1.0.21

Das Plugin wird in verschiedenen Content-Management-Systemen und Web-Applikationen eingesetzt. Benutzer sollten ihre installierten Versionen überprüfen.

Technische Details

Die Vulnerability beruht auf einer unzureichenden Validierung von Benutzereingaben in der PHP-Deserialisierung. Ein unauthentifizierter Angreifer kann speziell präparierte serialisierte Objekte an anfällige Endpunkte übermitteln. Dies führt zur Instantiierung beliebiger Klassen mit definierten Eigenschaften.

Durch die Ausnutzung von Magic Methods (__wakeup, __toString, __destruct) können Angreifer arbitrary PHP-Code ausführen. Der Netzwerk-basierte Angriffsvektor ermöglicht eine Ausnutzung ohne vorherige Authentifizierung oder spezielle Berechtigungen.

Empfohlene Massnahmen

• Sofortige Deaktivierung: Booktics-Plugin bis zur Verfügbarkeit eines Patches deaktivieren oder entfernen
• Eingabevalidierung: Strikte Validierung aller Benutzereingaben implementieren
• Web Application Firewall: WAF-Regeln gegen PHP Object Injection aktivieren
• Monitoring: Logs auf verdächtige Deserialisierungsversuche überprüfen
• Updates beobachten: Regelmäßige Überprüfung auf verfügbare Sicherheits-Patches

Bewertung

Mit einem CVSS-Score von 9.8 (Confidentiality: High, Integrity: High, Availability: High) stellt diese Schwachstelle eine kritische Bedrohung dar. Die fehlende Authentifizierung kombiniert mit der Möglichkeit zur Remote Code Execution macht eine schnelle Mitigation zwingend erforderlich.