WordPress CVE-2026-87902: Template-Versagen ermöglicht CERs; Patches und Minderung

In den Stunden nach der Veröffentlichung des offiziellen Patches begannen Angreifer aktiv eine kritische WordPress-Verwundbarkeit als CVE-2026-87902 (CVSS 9.2) zu nutzen. Der Ausfall ermöglicht es einem nicht authentifizierten Angreifer, die Seitenvorlagenauflösungsfunktion zu zwingen, eine lesbare lokale .php-Datei außerhalb der Verzeichnisse des aktiven Subjekts einzuschließen, und unter bestimmten Bedingungen kann dies zur Remotecode-Ausführung (CERs) führen.. Wort Presse veröffentlichte Korrekturen und Empfehlungen; Sicherheitsunternehmen haben anschließend Exploitativversuche an realen Standorten aufgezeichnet.

Technisch liegt das Problem in der Weise, wie Sie _ Seite _ Template () löst Template-Routen: Wenn im aktiven Subjekt (Vater oder Kind) ein höheres Level-Verzeichnis vorhanden ist, dessen Name mit "page-" beginnt (z.B. "page- Templates"), kann die Inklusionslogik manipuliert werden, um eine .php-Datei auf jedes zu verweisen, das auf dem Konto des Webservers lesbar ist. Wenn der Angreifer kann diese Datei PHP-Code von ihm kontrolliert enthalten - zum Beispiel, weil er zuvor eine Datei in / tmp geschrieben oder nutzte eine lesbare Datei bereits im System vorhanden - die Inklusion verursacht die Ausführung dieses Codes mit den Privilegien des Web-Prozesses.

Zwei Voraussetzungen sind notwendig und werden durch technische Beschreibungen und Telemetrie bestätigt: Erstens, dass das aktive Thema ein Top-Level-Verzeichnis hat, dessen Name von "page-" beginnt; zweitens, dass es eine .php-Datei vom Webserver-Benutzer lesbar ist (z.B. / usr / local / lib / php / pearcmd.php) im System. Bei mehreren beobachteten Versuchen kombinieren die Angreifer beides: Sie verwenden eine lesbare Datei, die bereits vorhanden ist, um eine PHP-Payload in / tmp zu schreiben und dann ihre Inklusion durch die manipulierte Vorlagenroute zu zwingen.

Öffentliche Beobachtungen stammen von Sicherheitsanbietern, die Telemetrie geteilt haben. Previdian berichtete 68 Versuche zur Ausbeutung registriert seit 23. September 2026 gegen sein Honeypots-Netzwerk, mit Anträgen, die versuchten, / usr / local / lib / php / pearcmd.php einzubeziehen und dann Dateien in / tmp mit Shells oder aufsteigenden Skripten zu schreiben. Patchstack bestätigte auch ähnliche Aktivität: Die Angreifer gingen von Umfragen gegen harmlose Kerndateien bis einschließlich Birnen. php und führen Sie beliebige PHP-Skripte an temporären Server-Standorten durch. Diese Unternehmen haben Analysen und Mitteilungen veröffentlicht, die für technische Details und Erkennungssignaturen zu konsultieren sind.

Fakten bestätigt: WordPress veröffentlichte Patches für Verwundbarkeit und empfohlene sofortige Aktualisierung; Sicherheitsanbieter haben aktive Exploitativversuche dokumentiert; Angreifer haben versucht, Dateien in / tmp und / var / tmp mit Namen wie wp-pear-rce-flag.php, poc87902 zu schreiben. php und luci _ Varianten.php oder zeta _.php; einige Ursprünge von Anträgen wurden in öffentlichen IP-Bereichen identifiziert.

Schätzungen und unsichere Aspekte: Wir sind wahrscheinlich zu sehen umfangreiche automatische Sweep und Masse der Betriebsversuche - vor allem, weil WordPress automatische Updates standardmäßig erlaubt - aber die tatsächliche Anzahl von Standorten in der Produktion und der Umfang der anhaltenden Intrusionen ist noch unsicher. Die beobachteten Angriffssignaturen und die beobachteten Vektoren erlauben dem Richter, dass opportunistische Akteure die Ausbeutung schnell automatisierten, aber es gibt keine öffentlichen und überprüfbaren Beweise für eine feste Zuschreibung oder eine groß angelegte koordinierte Kampagne über den anfänglichen Sturz hinaus.

Wer beeinflusst das? WordPress-Seiten, die vorkorrigierte Versionen ausführen und Vorbedingungen erfüllen (die mit "page-"-Verzeichnis und .php-Dateien legible off-topic) sind gefährdet. Dazu gehören Einrichtungen mit zusätzlichen PHP-Modulen (z.B. PEAR), die an Systemstandorten (/ usr / local / lib / php / pearcmd.php aufgeführt wird in mehreren Berichten) und Umgebungen, in denen der Webserver diese Dateien lesen kann. Sites mit aktiven automatischen Updates, die die Patches angewendet haben, sobald sie gegangen sind, sind weniger wahrscheinlich zu Kompromissen.

Die Folgen einer erfolgreichen Ausbeutung sind schwerwiegend: Ein CER vom Webserver kann eine Backdoor-Installation, Privileg Klettern, Daten Exfiltration, Site-Defacement, bösartige Postsendung, Bergbau oder Verwendung als Sprungplattform zu anderen internen Vermögenswerten ermöglichen. Daher sollte die Reaktion schnell und methodisch erfolgen.

Sofortige und konkrete Maßnahmen, die der Administrator ergreifen muss: das offizielle WordPress-Update auf die korrigierten Versionen so schnell wie möglich anwenden (WordPress 7.1.2, oder die Zweige 7.0.6, 6.9.9, 6.8.10 durch den Sicherheitshinweis angezeigt). Wenn Sie nicht sofort aktualisieren können, implementieren Sie Zeitregeln in Ihrem WAF, um verdächtige Parameter und Routen zu blockieren, den Zugriff auf Zeitverzeichnisse (/ tmp, / var / tmp) und blockieren Sie Anwendungsmuster, die versuchen, Dateien außerhalb / wp-content / Themen einzubeziehen. Suchen und entfernen Sie verdächtige temporäre Dateien mit Namen, die bei Angriffen beobachtet werden (z.B. wp-pear-rce-flag.php, poc87902.php und luci _ / zeta _ Varianten) in / tmp, / var / tmp und die Webwurzel; halten Sie Kopien für forensische Analyse vor dem Löschen, wenn Sie Versprechen vermuten.

Prüfung der Installation: überprüfen Sie die Anwesenheit von / usr / local / lib / php / pearcmd. php oder andere PEAR-Dateien, die mit dem Web-Account lesbar sind; überprüfen Sie die Kernintegrität mit Werkzeugen wie wp-cli (z.B. wp-Kern-Checksums) und vergleichen Sie mit sauberen Kopien. Überprüfen Sie Web-Zugriffsprotokolle, um Anfragen mit Vorlageneinschlussmustern und in den Berichten aufgeführten PIs zu identifizieren; wenn Sie Aktivität finden, isolieren Sie die Maschine, ändern Sie betroffene Anmeldeinformationen und Schlüssel rotée. Wenn es Beweise für Remote-Ausführung oder Beharrlichkeit gibt, wiederherstellen Sie von sauberen Backups und führen Sie eine forensische Analyse, bevor Sie den Standort in Produktion.

Öffentliche URLs, die verwendet werden, um Remote-Payloads (z.B. ro.githubusercontent.com /... wenn es auf den Logs erscheint) zu bringen und Ausgabesteuerungen zu aktivieren, die verhindern, dass der Webserver beliebigen Code herunterlädt und aufgerufen. Stärken Sie die Dateiberechtigungen und verhindern Sie, dass sensible Materialien auf lesbaren Routen auf dem Webserver außerhalb der legitimen WordPress-Baum.

Um offizielle Mitteilungen zu lesen und auf dem neuesten Stand zu halten, nutzen Sie die Quellen des Ökosystems selbst: beziehen Sie sich auf den WordPress-Sicherheitshinweis in seiner Sicherheitskategorie und auf die Analyse von Signaturen und Minderungen an spezialisierten Sicherheitsstandorten wie Patchstack und Telemetrie-Berichte, die von Unternehmen veröffentlicht werden, die die Aktivität überwachen. https: / / wordpress.org / news / Kategorie / Sicherheit / und https: / / Patchstack.com / Blog / Sie sind gute Ausgangspunkte. Begleitung von Publikationen wie The Hacker News für praktische Indikatoren und Beispiele für die Feldausbeutung sollten auch verfolgt werden: https: / / thehackernews.com /.

Kurz gesagt, die Sicherheitslücke ist real und gefährlich, die aktive Ausbeutung wurde bereits dokumentiert, und die dringende Antwort muss die Aktualisierung des Kerns und eine detaillierte Prüfung der Umwelt sein. Aktualisierung, Prüfung und Abschwächung mit Filter-/Isolationsregeln sind die drei vorrangigen Maßnahmen zur Verringerung des unmittelbaren Risikos.