Киберпрестъпници започнаха активно да експлоатират критична уязвимост в сигурността на WordPress в рамките на часове след нейното публично оповестяване.

Въпросната уязвимост е CVE-2026-87902 (CVSS оценка: 9.2), която би могла да позволи на неавтентифициран атакуващ да постигне отдалечено изпълнение на код (RCE).

„Неавтентифициран атакуващ може да накара зареждането на шаблони чрез get_page_template() да включи избран локален .php файл за четене извън директориите на активната тема“, съобщиха от WordPress в бюлетин, публикуван преди два дни. „Ако са изпълнени съответните предпоставки за сървърната среда и за активната тема, това може да доведе до RCE.“

Успешната експлоатация зависи от изпълнението на двете предварителни условия –

  • Активната дъщерна или основна тема съдържа директория от първо ниво, чието име започва с page- (напр. page-templates).
  • Избран локален целеви .php файл съществува на сървъра и е достъпен за четене от акаунта на уеб сървъра (напр. pearcmd.php).

В изявление за The Hacker News от Previdian съобщават, че наблюдават опити за експлоатация, насочени към CVE-2026-87902, срещу своята мрежа от примамки (honeypots), като злонамерените заявки произхождат от IP адрес (104.194.9[.]227), разположен в американския щат Ню Джърси.

Тези заявки включват локалния PHP файл /usr/local/lib/php/pearcmd.php, записват файл в /tmp/ и след това зареждат PHP скрипт за качване на файлове, хостван в GitHub („raw.githubusercontent[.]com/MrG3P5/web-shell/refs/heads/main/uploader.php“).

„Въпреки че това несъмнено е сериозна уязвимост, определени предварителни условия правят експлоатацията по-малко вероятна“, заявява основателят и главен изпълнителен директор на Previdian Раян Дюхърст. „Тъй като в WordPress автоматичните актуализации са включени по подразбиране, вероятно ще видим масови опити за експлоатация, но сравнително малко реални пробиви.“

Телеметричните данни от Previdian отчитат общо 68 опита за експлоатация, започнали на 23 септември 2026 г. Част от опитите произхождат и от IP адрес в Индонезия.

Компанията за сигурност на WordPress Patchstack също предупреди, че злонамерените заявки са се разширили от разузнаване срещу безобидни основни файлове до активна експлоатация, при която атакуващите включват „pearcmd.php“ и го използват за запис на PHP файлове на диска, потвърждавайки констатациите на Previdian.

Първият опит за експлоатация е регистриран на 22 септември 2026 г. в 11:49 ч. UTC, в същия ден, когато бяха издадени корекции за сигурност за проблема. Освен това дейността включва запис на произволни файлове със съдържание на PHP, контролирано от атакуващия, на места като „/tmp“ и „/var/tmp“. Наблюдаваните имена на файлове включват –

  • wp-pear-rce-flag.php
  • poc87902.php
  • luci_<random>.php
  • zeta_<random>.php

Някои от IP адресите, свързани със злонамерените атаки –

  • 43.250.53[.]42
  • 180.251.159[.]243
  • 195.178.110[.]247
  • 107.189.14[.]87
  • 45.61.184[.]170
  • 92.246.130[.]76

С оглед на активната експлоатация, уеб администраторите се съветват да инсталират актуализации за сигурност до WordPress версия 7.1.2 (или 7.0.6, 6.9.9, 6.8.10) възможно най-скоро и да извършат одити за признаци на злонамерена дейност.