WordPress CVE-2026-87902: falha em modelos permite RCE; adesivos e mitigações

Nas horas seguintes à publicação do adesivo oficial, atacantes começaram a explorar ativamente uma vulnerabilidade crítica no WordPress catalogada como CVE-2026-87902 (CVSS 9.2). A falha permite a um atacante não autenticado forçar que a função de resolução de modelos de página inclua um ficheiro .php local legível fora das pastas do tema activo, e em condições concretas isso pode resultar em execução remota do código (RCE). O WordPress publicou correções e recomendações; posteriormente empresas de segurança registraram tentativas de exploração direcionadas a sites reais.

Tecnicamente, o problema reside na forma como o get_page_template () resolve rotas de modelo: se existe no tema ativo (pai ou filho) uma pasta de nível superior cujo nome começa por "page-" (por exemplo, "page-templates"), a lógica de inclusão pode ser manipulada para referenciar um ficheiro .php qualquer que seja legível pela conta do servidor web. Se o atacante puder fazer com que esse arquivo contenha código PHP controlado por ele - por exemplo porque ele escreveu anteriormente um ficheiro em /tmp ou aproveitou um arquivo legível já presente no sistema - a inclusão provoca execução desse código com os privilégios do processo web.

Dois pré-requisitos são necessários e são confirmados pelas descrições técnicas e telemetria: primeiro, que o tema activo tenha uma pasta de nível superior cujo nome comece por "page-"; segundo, que existe no sistema um ficheiro .php legível pelo utilizador do servidor Web (por exemplo, /usr/local/lib/php/pearcmd.php). Em várias tentativas observadas, os atacantes combinam ambas as coisas: usam um arquivo legível já presente para escrever um payload PHP em /tmp e depois forçam sua inclusão através da rota de modelo manipulada.

As observações públicas vêm de provedores de segurança que compartilharam telemetria. Previdian relatou 68 tentativas de exploração registradas desde 23 de setembro de 2026 contra sua rede de honeypots, com petições que tentavam incluir /usr/local/lib/php/pearcmd.php e depois escrever arquivos em /tmp contendo shells ou scripts de subida. Patchstack também confirmou atividade similar: os atacantes passaram de pesquisas contra arquivos inofensivos do core a incluir pearcmd.php e realizar escrituras arbitrárias de PHP em locais temporários do servidor. Estas empresas publicaram análises e avisos que convém consultar para detalhes técnicos e empresas de detecção.

Atos confirmados: O WordPress publicou adesivos para a vulnerabilidade e recomendou a atualização imediata; provedores de segurança documentaram tentativas de exploração ativos; os atacantes tentaram escrever arquivos em /tmp e /var/tmp com nomes como wp-pear-rce-flag.php, poc87902.php e variantes luci_.php ou zeta_.php; algumas origens dos pedidos foram identificadas em intervalos IP públicos.

Estimações e aspectos incertos: É provável que vejamos amplos barridos automáticos e massa de tentativas de exploração - especialmente porque o WordPress habilita atualizações automáticas por defeito -, mas o número real de sites comprometidos em produção e o alcance de intrusões persistentes ainda é incerto. As assinaturas de ataque e os vetores observados permitem julgar que atores oportunistas automatizaram a exploração rapidamente, mas não há evidência pública e verificável de atribuição firme nem de uma campanha coordenada em larga escala para além dos barridos iniciais.

Quem afeta isto? Sites WordPress que executam versões anteriores às corrigidas e que satisfaçam as pré-condiciones (tema com diretório "page-" e arquivos .php legíveis fora do tema) estão em risco. Isto inclui instalações com módulos adicionais de PHP (como PEAR) que colocam utilitários legíveis em locais do sistema (/usr/local/lib/php/pearcmd.php é citado em vários relatórios) e ambientes em que o servidor Web pode ler esses ficheiros. Sites com atualizações automáticas ativas e que aplicaram os adesivos enquanto saíram têm menor probabilidade de compromisso.

As consequências de uma exploração bem-sucedida são graves: um RCE do servidor Web pode permitir a instalação de backdoors, escalada de privilégios, exfiltração de dados, defacement do site, envio de e-mail malicioso, mineração ou uso como plataforma de salto para outros ativos internos. Portanto, a reação deve ser rápida e metódica.

Medidas imediatas e concretas a tomar pelo administrador: aplique a atualização oficial do WordPress às versões corrigidas o mais rapidamente possível (WordPress 7.1.2, ou os ramos 7.0.6, 6.9.9, 6.8.10 indicados pela nota de segurança). Se não puder actualizar imediatamente, aplique regras temporárias no seu WAF para bloquear parâmetros e rotas suspeitas, restrinja o acesso a pastas temporárias (/tmp, /var/tmp) e bloquee os padrões de pedido que tentem incluir ficheiros fora do /wp-content/themes. Procure e remova arquivos temporários suspeitos com nomes observados em ataques (por exemplo, wp-pear-rce-flag.php, poc87902.php e variantes luci_/zeta_) em /tmp, /var/tmp e na raiz web; conserve cópias para análise forense antes de removê-los se suspeitar de compromisso.

Audite a instalação: verifique a presença de /usr/local/lib/php/pearcmd.php ou outros arquivos PEAR legíveis pela conta web; verifique integridade de core com ferramentas como wp-cli (por exemplo, wp core verify-checksums) e compare com cópias limpas. Revise logs de acesso web para identificar pedidos com padrões de inclusão de modelos e IPs listados nos relatórios; se você encontrar atividade, isole a máquina, mude credenciais e rotée chaves afetadas. Se houver evidência de execução remota ou persistência, restaure de backups limpos e faça uma análise forense antes de voltar a colocar o site em produção.

Também é conveniente bloquear de forma preventiva os URLs públicos usados para trazer payloads remotos (por exemplo, raw.githubusercontent.com/... se aparecer nos logs) e activar os controlos de saída que impeçam o servidor Web de baixar e invocar código arbitrário. Refuerce permissões de arquivo e evite que materiais sensíveis residam em rotas legíveis pelo servidor web fora da árvore legítima do WordPress.

Para ler os avisos oficiais e manter-se atualizado use as fontes do próprio ecossistema: consulte o aviso de segurança do WordPress em sua categoria de segurança e análises de empresas e mitigações em sites especializados em segurança como Patchstack e os relatórios de telemetria publicados por empresas que monitoram a atividade. https://wordpress.org/news/category/security/ e https://patchstack.com/blog/ São bons pontos de partida. Também convém seguir publicações de vigilância como The Hacker News para indicadores práticos e exemplos de exploração em campo: https://thehackernews.com/.

Em resumo: a vulnerabilidade é real e perigosa, a exploração ativa já foi documentada, e a resposta urgente deve ser a atualização do core e uma auditoria detalhada do ambiente. Actualizar, auditar e mitigar com regras de filtragem/allamento são as três ações prioritárias para reduzir o risco imediato.