CVE-2026-62016: WordPress Gamic theme <= 1.19 - PHP Object Injection vulnerability

Severity: critical (CVSS 9.8 v3.1)
Exploited in the wild: not listed in CISA KEV
EPSS: 0.4% probability of exploitation in the next 30 days
Public exploit or detection template: none known
Published: 2026-10-29 · updated 2026-10-30
Weakness: CWE-502

Description

Unauthenticated PHP Object Injection in Gamic <= 1.19 versions.

Summary

CVE-2026-62016 is a critical unauthenticated PHP Object Injection flaw in the ThemeREX Gamic WordPress theme, affecting versions up to and including 1.19. With a CVSS score of 9.8, it can allow remote attackers to inject malicious PHP objects without logging in, potentially leading to code execution or full site compromise. It is not listed in CISA KEV and no active exploitation has been confirmed. Update Gamic to a version later than 1.19 if available, or remove/disable the theme until a patched release is issued.

CVE-2026-62016 هو ثغرة حرجة من نوع حقن كائنات PHP (PHP Object Injection) دون مصادقة في قالب WordPress المسمى ThemeREX Gamic، وتؤثر في الإصدارات حتى 1.19 شاملةً. وبدرجة CVSS تبلغ 9.8، قد تتيح للمهاجمين عن بُعد حقن كائنات PHP خبيثة دون تسجيل الدخول، مما قد يؤدي إلى تنفيذ تعليمات برمجية أو اختراق الموقع بالكامل. الثغرة غير مدرجة في CISA KEV ولم يُؤكَّد استغلالها فعلياً. يُنصح بالترقية إلى إصدار أحدث من 1.19 إن توفر، أو إزالة القالب أو تعطيله ريثما يصدر إصدار مُصحَّح.

Affected products

ThemeREX Gamic: through 1.19

References

https://patchstack.com/database/wordpress/theme/gamic/vulnerability/wordpress-gamic-theme-1-19-php-object-injection-vulnerability?_s_id=cve

Get alerted when CVE-2026-62016 or the next vulnerability affects your stack