WordPress: gli attacchi passano alla scrittura di PHP
Al 26° giorno dalla divulgazione, Patchstack segnala che gli attacchi a WordPress per CVE-2026-87902 sono passati dai controlli preliminari alla scrittura e all’esecuzione di PHP. Il traffico osservato supera di oltre dieci volte quello della prima sera.
La falla fa caricare a WordPress, come modello di pagina, un file PHP leggibile che si trova fuori dalle cartelle del tema attivo. Gli attaccanti sfruttano pearcmd.php, uno strumento legittimo per gestire pacchetti PHP, per scrivere codice in /tmp e poi indurre WordPress a eseguirlo. Servono però un tema con una cartella principale il cui nome inizi per page- e una configurazione PHP che renda leggibile pearcmd.php e abiliti register_argc_argv. Ottenuto accesso al codice, l’attaccante può leggere credenziali e chiavi in wp-config.php, creare account amministrativi e modificare il sito.
WordPress 7.1.2 corregge il problema; la correzione è stata retroportata fino alla serie 4.7.x. La patch chiude la falla, ma non accerta se sul server restino codice scritto in /tmp o meccanismi di persistenza: la compromissione può lasciare tracce fuori dalla directory WordPress.
CVSS 8.1 HIGH: an unauthenticated attacker can make `get_page_template()` page-template resolution include a chosen readable local `.php` file outside the active theme directories.
WordPress patches a critical severity security vulnerability
The hole, which allows an unauthenticated attacker to perform remote code execution, is especially dangerous because many enterprises are not aware of all of their WordPress sites.