What’s Vulnerable › Vulnerabilities
CVE-2026-62009: WordPress Filmax theme <= 1.1.11 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.4% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-30
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in Filmax <= 1.1.11 versions.
Summary
The Filmax WordPress theme through version 1.1.11 contains an unauthenticated PHP Object Injection vulnerability, rated critical with a CVSS score of 9.8. Because no authentication is required, remote attackers could exploit it to manipulate PHP objects, potentially leading to code execution or full site compromise. All sites running ThemeREX Filmax up to and including 1.1.11 are affected. The flaw is not listed in CISA KEV and no confirmed exploitation is reported; update the theme to a version later than 1.1.11 or remove it if no fix is available.
تحتوي قالب WordPress المسمى Filmax حتى الإصدار 1.1.11 على ثغرة حقن كائنات PHP (PHP Object Injection) يمكن استغلالها دون مصادقة، وتصنَّف حرجة بدرجة CVSS تبلغ 9.8. ولأن الاستغلال لا يتطلب تسجيل الدخول، فقد يتمكن المهاجمون عن بُعد من التلاعب بكائنات PHP مما قد يؤدي إلى تنفيذ تعليمات برمجية أو اختراق الموقع بالكامل. تتأثر جميع المواقع التي تستخدم ThemeREX Filmax حتى الإصدار 1.1.11 شاملاً. الثغرة غير مدرجة في CISA KEV ولا توجد تقارير مؤكدة عن استغلالها؛ يُنصح بالترقية إلى إصدار أحدث من 1.1.11 أو إزالة القالب إن لم يتوفر إصلاح.
Affected products
- ThemeREX Filmax: through 1.1.11
References
Get alerted when CVE-2026-62009 or the next vulnerability affects your stack