Критичната уязвимост в WordPress CVE-2026-87902 се експлоатира активно, като активността е преминала от разузнаване към опити за записване на злонамерени PHP файлове на уязвими сървъри.

Проблемът засяга версии на WordPress Core от 4.7.0 до 7.1.1 и е отстранен в WordPress 7.1.2 и съответните коригирани по-стари версии. Изследователите от Patchstack съобщиха, че експлоатацията е започнала на 22 септември, малко след публикуването на актуализацията за сигурност.

Първоначалните заявки са били насочени към безвредни основни файлове на WordPress, за да се установи дали сайтовете са уязвими. В рамките на едно денонощие киберпрестъпниците са започнали да използват инструмента pearcmd.php на PEAR, за да създават PHP файлове в временни директории. Тази техника може да доведе до отдалечено изпълнение на код (RCE).

CVE-2026-87902 е уязвимост от тип локално включване на файлове (LFI) без необходимост от автентикация в процеса на определяне на шаблона на страницата в WordPress. Тя има CVSS оценка 9.2 и не изисква валиден профил в WordPress или потребителско взаимодействие.

Атакуващите могат да злоупотребят със последователности за преминаване през директории (path traversal) в параметъра pagename, за да принудят WordPress да зареди локални PHP файлове извън предвидения път на тема. Засегнатият код се намира във функцията get_page_template() на WordPress.

В уязвимите версии WordPress декодира от URL адреса името на страницата, контролирано от потребителя, и конструира възможен шаблон, без да прилага същите контроли за валидация на пътя, използвани на други места във функцията. Това може да позволи на модифицирана заявка да излезе от директорията на темата и да включи произволен локален PHP файл.

Хакери експлоатират уязвимост в WordPress

Изследователите посочват, че практическата експлоатация може да прерасне в отдалечено изпълнение на код, когато на целевия сървър е инсталиран PEAR и е активирана опцията register_argc_argv на PHP.

Злонамерените субекти сканират няколко често срещани местоположения на pearcmd.php, включително пътища, използвани от Linux дистрибуции и контейнерни изображения. След това те използват обработката на команди в PEAR, за да опитат да създадат файлове със съдържание, контролирано от атакуващия.

Наблюдаваните злонамерени кодове са записали PHP файлове в /tmp и /var/tmp, включително файлове с имена като wp-pear-rce-flag.php, poc87902.php и генерирани на произволен принцип имена, започващи с luci_ или zeta_.

Въпреки че файловете, създадени във временните директории, не винаги са директно достъпни през уеб, успешното им създаване доказва, че атакуващите могат да изпълнят цялата верига от действия на сървъра. Организациите трябва да разглеждат подобна активност като потенциално компрометиране.

Кампанията също така е станала по-лесна за използване като оръжие. Patchstack идентифицира потребителски агенти (user agents), свързани с публични доказателства за концепция (PoC) и сканираща активност с Nuclei, което показва, че автоматизирани инструменти за сканиране вече се използват срещу голям брой WordPress сайтове.

Атакуващите променят дълбочината на преминаване през директории, форматите на кодиране, методите на заявките и URL адресите, което прави правилата за откриване, базирани на един шаблон на заявка, ненадеждни.

Администраторите трябва незабавно да инсталират корекции за сигурност и да обновят до WordPress 7.1.2 или съответната коригирана версия за поддържания от тях клон. Наличните коригирани версии включват 7.1.2, 7.0.6, 6.9.9, 6.8.10 и актуализации за по-стари версии до 4.7.37.

До пълното инсталиране на корекциите за сигурност екипите по защита трябва да блокират шаблоните за преминаване през директории в параметъра pagename, да проверяват логовете за кодирани стрингове и референции към pearcmd, както и да прегледат /tmp и /var/tmp за неочаквани PHP файлове.

Изключването на register_argc_argv може да прекъсне веригата за изпълнение на код през PEAR, но това не отстранява основната уязвимост за локално включване на файлове.