CVE-2026-87902
CVE-2026-87902: RCE при выборе шаблона WordPress
Проверьте затронутые ветки WordPress 4.7–7.1 и конкретную версию: при определённых условиях серверной конфигурации обход выбора шаблона может привести к выполнению PHP-кода.
Кому нужно проверить
Администраторам WordPress, веб-студиям и владельцам сайтов на виртуальном или выделенном хостинге. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Неаутентифицированный атакующий при выполнении условий advisory может добиться выполнения PHP-кода с правами веб-сервера.
Затронутые версии
Затронуты версии 7.1.0–7.1.1, 7.0.0–7.0.5, 6.9.0–6.9.8, 6.8.0–6.8.9, 6.7.0–6.7.8, 6.6.0–6.6.8, 6.5.0–6.5.11, 6.4.0–6.4.11, 6.3.0–6.3.11, 6.2.0–6.2.12, 6.1.0–6.1.13, 6.0.0–6.0.15, 5.9.0–5.9.17, 5.8.0–5.8.16, 5.7.0–5.7.18, 5.6.0–5.6.20, 5.5.0–5.5.21, 5.4.0–5.4.22, 5.3.0–5.3.24, 5.2.0–5.2.27, 5.1.0–5.1.25, 5.0.0–5.0.28, 4.9.0–4.9.32, 4.8.0–4.8.31 и 4.7.0–4.7.36. Для эксплуатации нужны top-level каталог активной родительской или дочерней темы с именем, начинающимся с page-, и доступный для чтения PHP-файл вне каталогов темы. Использование PEAR pearcmd.php для перехода к RCE требует register_argc_argv=On.
Исправленные версии
Исправлено в WordPress 7.1.2, 7.0.6, 6.9.9, 6.8.10, 6.7.9, 6.6.9, 6.5.12, 6.4.12, 6.3.12, 6.2.13, 6.1.14, 6.0.16, 5.9.18, 5.8.17, 5.7.19, 5.6.21, 5.5.22, 5.4.23, 5.3.25, 5.2.28, 5.1.26, 5.0.29, 4.9.33, 4.8.32 и 4.7.37. Установите исправленный релиз своей ветки или более новый поддерживаемый релиз.
Что сделать
- 1Сверьте версию WordPress с диапазонами advisory и проверьте активную родительскую/дочернюю тему на каталог верхнего уровня с префиксом page-.
- 2Проверьте настройки PHP register_argc_argv и наличие доступных веб-пользователю PHP-файлов; не публикуйте вывод конфигурации и пути к файлам.
- 3Сделайте резервную копию файлов и базы данных, протестируйте обновление и установите исправленный либо актуальный поддерживаемый WordPress.
- 4Проверьте журналы запросов и целостность файлов; при подозрении на компрометацию смените секреты и проведите расследование. WAF/BotProtection не заменяет обновление.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.