WordPress CVE-2026-87902: fallo en plantillas permite RCE; parches y mitigaciones

En las horas siguientes a la publicación del parche oficial, atacantes comenzaron a explotar activamente una vulnerabilidad crítica en WordPress catalogada como CVE-2026-87902 (CVSS 9.2). La falla permite a un atacante no autenticado forzar que la función de resolución de plantillas de página incluya un archivo .php local legible fuera de los directorios del tema activo, y en condiciones concretas esto puede derivar en ejecución remota de código (RCE). WordPress publicó correcciones y recomendaciones; posteriormente empresas de seguridad han registrado intentos de explotación dirigidos a sitios reales.

Técnicamente, el problema radica en la manera en que get_page_template() resuelve rutas de plantilla: si existe en el tema activo (padre o hijo) un directorio de nivel superior cuyo nombre comienza por "page-" (por ejemplo "page-templates"), la lógica de inclusión puede ser manipulada para referenciar un archivo .php cualquiera que sea legible por la cuenta del servidor web. Si el atacante puede hacer que ese archivo contenga código PHP controlado por él —por ejemplo porque previamente escribió un archivo en /tmp o aprovechó un archivo legible ya presente en el sistema— la inclusión provoca ejecución de ese código con los privilegios del proceso web.

Dos precondiciones son necesarias y están confirmadas por las descripciones técnicas y la telemetría: primero, que el tema activo tenga un directorio de nivel superior cuyo nombre inicie por "page-"; segundo, que exista en el sistema un archivo .php legible por el usuario del servidor web (por ejemplo /usr/local/lib/php/pearcmd.php). En varios intentos observados los atacantes combinan ambas cosas: usan un archivo legible ya presente para escribir un payload PHP en /tmp y después fuerzan su inclusión mediante la ruta de plantilla manipulada.

Las observaciones públicas provienen de proveedores de seguridad que han compartido telemetría. Previdian reportó 68 intentos de explotación registrados desde el 23 de septiembre de 2026 contra su red de honeypots, con peticiones que intentaban incluir /usr/local/lib/php/pearcmd.php y luego escribir archivos en /tmp que contenían shells o scripts de subida. Patchstack también confirmó actividad similar: los atacantes pasaron de sondeos contra archivos inofensivos del core a incluir pearcmd.php y realizar escrituras arbitrarias de PHP en ubicaciones temporales del servidor. Estas empresas han publicado análisis y avisos que conviene consultar para detalles técnicos y firmas de detección.

Hechos confirmados: WordPress publicó parches para la vulnerabilidad y recomendó la actualización inmediata; proveedores de seguridad han documentado intentos de explotación activos; los atacantes han intentado escribir archivos en /tmp y /var/tmp con nombres como wp-pear-rce-flag.php, poc87902.php y variantes luci_.php o zeta_.php; algunos orígenes de las peticiones han sido identificados en rangos IP públicos.

Estimaciones y aspectos inciertos: es probable que veamos amplios barridos automáticos y masa de intentos de explotación —especialmente porque WordPress habilita actualizaciones automáticas por defecto—, pero el número real de sitios comprometidos en producción y el alcance de intrusiones persistentes todavía es incierto. Las firmas de ataque y los vectores observados permiten juzgar que actores oportunistas automatizaron la explotación rápidamente, pero no hay evidencia pública y verificable de atribución firme ni de una campaña coordinada a gran escala más allá de los barridos iniciales.

¿A quién afecta esto? Sitios WordPress que ejecuten versiones anteriores a las corregidas y que cumplan las precondiciones (tema con directorio "page-" y archivos .php legibles fuera del tema) están en riesgo. Esto incluye instalaciones con módulos adicionales de PHP (como PEAR) que colocan utilidades legibles en ubicaciones del sistema (/usr/local/lib/php/pearcmd.php se cita en múltiples reportes) y entornos en los que el servidor web puede leer esos ficheros. Sitios con actualizaciones automáticas activas y que aplicaron los parches en cuanto salieron tienen menor probabilidad de compromiso.

Las consecuencias de una explotación exitosa son graves: un RCE desde el servidor web puede permitir instalación de backdoors, escalada de privilegios, exfiltración de datos, defacement del sitio, envío de correo malicioso, minería o uso como plataforma de salto a otros activos internos. Por lo tanto la reacción debe ser rápida y metódica.

Medidas inmediatas y concretas que debe tomar el administrador: aplique la actualización oficial de WordPress a las versiones corregidas lo antes posible (WordPress 7.1.2, o las ramas 7.0.6, 6.9.9, 6.8.10 indicadas por la nota de seguridad). Si no puede actualizar de inmediato, implemente reglas temporales en su WAF para bloquear parámetros y rutas sospechosas, restrinja el acceso a directorios temporales (/tmp, /var/tmp) y bloquee patrones de solicitud que intenten incluir ficheros fuera de /wp-content/themes. Busque y elimine ficheros temporales sospechosos con nombres observados en ataques (por ejemplo wp-pear-rce-flag.php, poc87902.php y variantes luci_/zeta_) en /tmp, /var/tmp y en la raíz web; conserve copias para análisis forense antes de borrarlos si sospecha compromiso.

Audite la instalación: verifique la presencia de /usr/local/lib/php/pearcmd.php u otros archivos PEAR legibles por la cuenta web; compruebe integridad de core con herramientas como wp-cli (por ejemplo wp core verify-checksums) y compare con copias limpias. Revise logs de acceso web para identificar peticiones con patrones de inclusión de plantillas y las IPs listadas en los informes; si encuentra actividad, aísle la máquina, cambie credenciales y rotée claves afectadas. Si hay evidencia de ejecución remota o persistencia, restaure desde backups limpios y realice un análisis forense antes de volver a poner el sitio en producción.

También conviene bloquear de forma preventiva URLs públicas usadas para traer payloads remotos (por ejemplo raw.githubusercontent.com/… si aparece en los logs) y habilitar controles de salida que impidan al servidor web descargar e invocar código arbitrario. Refuerce permisos de archivos y evite que materiales sensibles residan en rutas legibles por el servidor web fuera del árbol legítimo de WordPress.

Para leer los avisos oficiales y mantenerse actualizado utilice las fuentes del propio ecosistema: consulte el aviso de seguridad de WordPress en su categoría de seguridad y los análisis de firmas y mitigaciones en sitios especializados en seguridad como Patchstack y los reportes de telemetría publicados por empresas que monitorean la actividad. https://wordpress.org/news/category/security/ y https://patchstack.com/blog/ son buenos puntos de partida. También conviene seguir publicaciones de vigilancia como The Hacker News para indicadores prácticos y ejemplos de explotación en campo: https://thehackernews.com/.

En resumen: la vulnerabilidad es real y peligrosa, la explotación activa ya se ha documentado, y la respuesta urgente debe ser la actualización del core y una auditoría detallada del entorno. Actualizar, auditar y mitigar con reglas de filtrado/aislamiento son las tres acciones prioritarias para reducir el riesgo inmediato.