WordPress пусна версия 7.1.2 за отстраняване на критична уязвимост в сигурността, която би могла да позволи на неавтентифицирани атакуващи да изпълняват код на засегнати уебсайтове при определени условия.

Администраторите на сайтове трябва да обновят незабавно, тъй като успешното злоупотребяване може да не изисква атакуващите да влизат в системата или да притежават валиден профил в WordPress.

Уязвимостта се проследява като CVE-2026-87902 и засяга определянето на шаблони за страници в WordPress – основен механизъм, който определя кой PHP файл с шаблон да визуализира заявената страница.

Изследователят по сигурността Робърт Ресл отговорно докладва проблема на екипа по сигурност на WordPress. Уязвимостта може да позволи на отдалечен атакуващ да повлияе на определянето на шаблона и да накара WordPress да включи четим локален PHP файл, намиращ се извън директорията на активната тема.

При нормални обстоятелства се очаква WordPress да зарежда шаблони за страници само от доверени бази на теми. Уязвимостта създава възможност, която може да позволи на атакуващ да избере локален PHP файл, който не трябва да бъде достъпен чрез процеса на визуализация на темата.

Уязвимост в ядрото на WordPress

Ако засегнатата сървърна конфигурация и активната тема на WordPress отговарят на необходимите предпоставки, включително наличен избран локален PHP файл, това може да доведе до отдалечено изпълнение на код. Това означава, че атакуващ би могъл потенциално да стартира зловреден PHP код на базовия уеб сървър, без да се автентифицира пред сайта на WordPress.

Уязвимостите за отдалечено изпълнение на код са сред най-сериозните проблеми, засягащи системите за управление на съдържание (CMS). Една успешна атака би могла да позволи на злонамерените субекти да инсталират уеб шелове, да откраднат данни за достъп до базата данни, да променят съдържанието на уебсайта, да създават администраторски профили, да пренасочват посетители, да разпространяват зловреден код или да използват компрометирания сървър за атакуване на други системи.

Официалното съобщение за сигурност не показва, че всяка инсталация на WordPress е уязвима за злоупотреба. Използването на уязвимостта зависи от сървърната среда, активната тема и това дали присъстват съответните четими PHP файлове извън директориите на активната тема.

Въпреки това, атаката не изисква автентификация, което прави откритите и некоригирани сайтове мишена с висок приоритет за автоматизирано сканиране в интернет и опортюнистични атаки.

WordPress препоръчва администраторите незабавно да обновят всички сайтове до версия 7.1.2. Потребителите могат да изтеглят най-новия пакет от официалния уебсайт на WordPress или да инсталират обновлението през таблото за управление (WordPress Dashboard), като изберат „Обновявания“ (Updates) и натиснат „Обнови сега“ (Update Now). Сайтовете, конфигурирани за автоматични фонови обновления, могат да получат корекцията за сигурност автоматично.

Корекцията на уязвимостта е предоставена задно и за по-стари клонове на WordPress, имащи право на корекции за сигурност, към момента до версия 4.7. Въпреки че това осигурява път за защита на по-стари среди, от WordPress отбелязват, че активно се поддържа само най-новата версия.

Администраторите трябва да потвърдят, че обновленията са приключили успешно, да уверят, че всички сайтове работят с версия с инсталирана корекция за сигурност, и да прегледат логовете на уеб сървъра и WordPress за съмнителни заявки, свързани с пътища до шаблони, неочаквано изпълнение на PHP или новосъздадени администраторски потребители. Екипите по сигурност трябва също да проверят активните теми и персонализирания код, променящ поведението при избор на шаблон.

Организациите, които поддържат публично достъпни WordPress сайтове, трябва да разглеждат CVE-2026-87902 като спешно изискване за инсталиране на корекция за сигурност. Комбинацията от неавтентифициран достъп и потенциално отдалечено изпълнение на код прави бързото отстраняване на уязвимостта от съществено значение за предотвратяване на пълно компрометиране на сайта и сървъра.