CVE-2026-87902: dołączanie plików PHP w rdzeniu WordPressa prowadzące do RCE (KEV)

Podsumowanie

Parametr	Wartość
CVE ID	CVE-2026-87902
Źródło alertu	CISA KEV - Aktywna eksploatacja
Rok publikacji CVE	2026
Data publikacji	2026-09-25
Producent	WordPress
Produkt	Core
CVSS Score	8.1 (Wysoki)
EPSS Score	2.9% (percentyl: 86%)
CISA KEV	Tak - potwierdzona aktywna eksploatacja
Ransomware	Nie potwierdzono
Termin na reakcję	2026-09-28

Opis podatności

Źródło: CISA KEV / WordPress (GHSA-7hp8-65ch-5whp)

Rdzeń WordPressa zawiera podatność typu dołączanie plików (CWE-98). Nieuwierzytelniony atakujący może sprawić, że mechanizm rozwiązywania szablonu strony (get_page_template()) dołączy wybrany, czytelny lokalny plik .php spoza katalogów aktywnego motywu. Jeśli spełnione są dodatkowe warunki po stronie serwera i aktywnego motywu, prowadzi to do zdalnego wykonania kodu (RCE).

Według Patchstack atakujący zaczęli sondować witryny WordPress kilka godzin po publikacji poprawki.

Wymagane działania

Zastosuj poprawki lub środki zaradcze zgodnie z instrukcjami producenta, uwzględniając wytyczne CISA BOD 26-04 (priorytetyzacja aktualizacji według ryzyka) oraz wymagania CISA dotyczące triażu powłamaniowego. Dla usług chmurowych stosuj wytyczne BOD 26-04, a jeśli środki zaradcze nie są dostępne — zaprzestań korzystania z produktu. Oceń ekspozycję każdego zasobu na internet.

W praktyce: zaktualizuj rdzeń WordPressa do najnowszego wydania bezpieczeństwa na każdej witrynie (także landing page’ach, blogach i stronach kampanii poza głównym serwisem) i upewnij się, że automatyczne aktualizacje wydań podrzędnych są włączone. Na witrynach, których nie da się od razu zaktualizować, sprawdź logi serwera WWW pod kątem nietypowych żądań do stron z parametrami szablonu.

Kogo dotyczy?

Podatność dotyczy samego rdzenia WordPressa (nie wtyczki), więc obejmuje każdą niezaktualizowaną instalację — firmowe strony internetowe, blogi, serwisy kariery i strony kampanii marketingowych. Takie witryny często utrzymują agencje zewnętrzne, poza inwentarzem działu IT; sprawdź, kto odpowiada za aktualizacje każdej z nich.

Źródła

• NVD - CVE-2026-87902
• WordPress - GHSA-7hp8-65ch-5whp
• Patchstack - analiza CVE-2026-87902
• CISA KEV Catalog
• FIRST EPSS

---

Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.