WordPress CVE-2026-87902: la défaillance du modèle permet CER; patchs et atténuation

Dans les heures qui ont suivi la publication du patch officiel, les attaquants ont commencé à exploiter activement une vulnérabilité WordPress critique listée comme CVE-2026-87902 (CVSS 9.2). L'échec permet à un attaquant non authentifié de forcer la fonction de résolution du modèle de page à inclure un fichier .php local lisible en dehors des répertoires du sujet actif, et dans des conditions spécifiques cela peut entraîner une exécution de code à distance (CER). Mots La presse a publié des corrections et des recommandations; des sociétés de sécurité ont par la suite enregistré des tentatives d'exploitation visant des sites réels.

Techniquement, le problème réside dans la façon dont vous obtenez _ page _ template () résout les itinéraires de template : s'il y a un répertoire de niveau supérieur dans le sujet actif (père ou enfant) dont le nom commence par "page-" (par exemple "page- templates"), la logique d'inclusion peut être manipulée pour renvoyer un fichier .php à n'importe quel fichier lisible sur le compte du serveur web. Si l'attaquant peut faire que ce fichier contient du code PHP contrôlé par lui - par exemple parce qu'il a déjà écrit un fichier dans / tmp ou a profité d'un fichier lisible déjà présent dans le système - l'inclusion provoque l'exécution de ce code avec les privilèges du processus web.

Deux conditions préalables sont nécessaires et sont confirmées par des descriptions techniques et télémétrie: premièrement, que le thème actif a un répertoire de haut niveau dont le nom commence par "page-"; deuxièmement, qu'il y a un fichier .php lisible par l'utilisateur du serveur web (par exemple / usr / local / lib / php / pearcmd.php) dans le système. Dans plusieurs tentatives observées, les attaquants combinent les deux : ils utilisent un fichier lisible déjà présent pour écrire une charge utile PHP dans / tmp, puis forcent son inclusion en utilisant la route de gabarit manipulée.

Les observations du public proviennent de fournisseurs de sécurité qui ont partagé la télémétrie. Previdian a signalé 68 tentatives d'exploitation enregistrées depuis le 23 septembre 2026 contre son réseau de pots d'abeilles, avec des demandes qui ont tenté d'inclure / usr / local / lib / php / pearcmd.php et ensuite écrire des fichiers dans / tmp contenant des shells ou des scripts ascendants. Patchstack a également confirmé une activité similaire: les attaquants sont passés de sondages contre des fichiers de noyau inoffensifs à y compris poircmd. php et effectuer des scriptures PHP arbitraires dans des emplacements de serveur temporaires. Ces entreprises ont publié des analyses et des avis qui devraient être consultés pour les détails techniques et les signatures de détection.

Faits confirmés : WordPress a publié des correctifs pour vulnérabilité et recommandé une mise à jour immédiate; les fournisseurs de sécurité ont documenté des tentatives d'exploitation active; les attaquants ont essayé d'écrire des fichiers dans / tmp et / var / tmp avec des noms comme wp-pear-rce-flag.php, poc87902. php et luci _ variantes.php ou zeta _.php; certaines origines des demandes ont été identifiées dans les domaines de propriété intellectuelle publics.

Estimations et incertitudes : Nous sommes susceptibles de voir un balayage automatique étendu et une masse de tentatives d'exploitation - surtout parce que WordPress permet des mises à jour automatiques par défaut - mais le nombre réel de sites impliqués dans la production et la portée des intrusions persistantes est encore incertain. Les signatures d'attaque et les vecteurs observés permettent au juge que les acteurs opportunistes ont automatisé l'exploitation rapidement, mais il n'y a aucune preuve publique et vérifiable d'attribution ferme ou d'une campagne coordonnée à grande échelle au-delà du balayage initial.

Qui cela affecte - t - il? Les sites WordPress qui exécutent des versions précorrigées et répondent aux conditions préalables (thème avec répertoire "page-" et fichiers .php lisibles hors-top) sont en danger. Cela inclut des installations avec des modules PHP supplémentaires (comme PEAR) qui placent des utilitaires lisibles dans des emplacements système (/ usr / local / lib / php / pearcmd.php est cité dans plusieurs rapports) et des environnements dans lesquels le serveur Web peut lire ces fichiers. Les sites avec des mises à jour automatiques actives qui ont appliqué les correctifs dès qu'ils sont partis sont moins susceptibles de compromettre.

Les conséquences d'une exploitation réussie sont graves: un URCE du serveur web peut permettre l'installation de portes arrières, l'escalade de privilèges, l'exfiltration de données, la dégradation du site, l'envoi de courrier malveillant, l'extraction ou l'utilisation comme plate-forme de saut à d'autres actifs internes. La réaction doit donc être rapide et méthodique.

Mesures immédiates et concrètes à prendre par l'administrateur: appliquer la mise à jour WordPress officielle aux versions corrigées dès que possible (WordPress 7.1.2, ou les branches 7.0.6, 6.9.9, 6.8.10 indiquées par la note de sécurité). Si vous ne pouvez pas mettre à jour immédiatement, implémentez des règles temporelles dans votre WAF pour bloquer les paramètres et itinéraires suspects, restreindre l'accès aux répertoires temporels (/ tmp, / var / tmp) et bloquer les modèles d'applications qui tentent d'inclure des fichiers en dehors de / wp-content / thèmes. Recherchez et supprimez les fichiers temporaires suspects avec des noms observés lors d'attaques (par exemple wp-pear-rce-flag.php, poc87902.php et luci _ / zeta _ variantes) dans / tmp, / var / tmp et la racine web; gardez des copies pour l'analyse médico-légale avant de les supprimer si vous soupçonnez des fiançailles.

Vérification de l'installation: vérifier la présence de / usr / local / lib / php / pearcmd. php ou d'autres fichiers PEAR lisibles au compte web; vérifier l'intégrité du cœur avec des outils tels que wp-cli (par exemple wp core verifie-checksums) et comparer avec des copies propres. Consultez les journaux d'accès Web pour identifier les demandes avec les modèles d'inclusion et les IP énumérés dans les rapports; si vous trouvez de l'activité, isolez la machine, modifiez les identifiants affectés et rotée clé. S'il y a des preuves d'exécution ou de persistance à distance, rétablir à partir de sauvegardes propres et effectuer une analyse médico-légale avant de redevenir le site en production.

URLs publiques utilisées pour apporter des charges utiles distantes (par exemple rough.githubusercontent.com /... s'il apparaît sur les journaux) et activer les contrôles de sortie qui empêchent le serveur Web de télécharger et d'invoquer le code arbitraire. Renforcer les permissions de fichiers et empêcher les matériaux sensibles de résider sur des routes lisibles sur le serveur web en dehors de l'arbre WordPress légitime.

Pour lire les avis officiels et garder à jour l'utilisation des sources de l'écosystème lui-même : se référer à l'avis de sécurité WordPress dans sa catégorie de sécurité et à l'analyse des signatures et des mesures d'atténuation sur des sites de sécurité spécialisés tels que les rapports Patchstack et télémétrie publiés par les entreprises qui surveillent l'activité. https: / / wordpress.org / actualités / catégorie / sécurité / et https: / / patchstack.com / blog / Ce sont de bons points de départ. Des publications de suivi telles que The Hacker News pour des indicateurs pratiques et des exemples d'exploitation sur le terrain devraient également être suivies: https: / / thehackernews.com /.

Bref, la vulnérabilité est réelle et dangereuse, l'exploitation active a déjà été documentée, et la réponse urgente doit être la mise à jour du noyau et un audit détaillé de l'environnement. Mise à jour, audit et atténuation avec des règles de filtrage/isolement sont les trois actions prioritaires pour réduire le risque immédiat.