WordPress выпустил патч для критической дыры локального включения файлов 22 сентября. Первая попытка эксплуатации зафиксирована в тот же день, в 11:49 по UTC. Через несколько часов атакующие уже не сканировали, а реально записывали вредоносные PHP-файлы на диск.
CVE-2026-87902 не требует аутентификации, не требует действий пользователя и оценена в 9.2 по CVSS. Дыра сидит в функции get_page_template(): с помощью path traversal в параметре pagename атакующий заставляет WordPress подгрузить локальный PHP-файл из-за пределов директории шаблонов. Для срабатывания нужны два условия: у активной темы должна быть директория верхнего уровня с именем, начинающимся на «page-», и на сервере должен существовать читаемый PHP-файл, который можно использовать как цель, например pearcmd.php.
По данным телеметрии Previdian, с 23 сентября зафиксировано 68 попыток эксплуатации — активность эскалировала от прощупывания базовых файлов ядра до включения pearcmd.php и записи новых PHP-файлов на сервер. WordPress закрыл проблему в версии 7.1.2, при этом патч откатили назад вплоть до ветки 4.7 — это говорит о том, сколько времени эта дыра вообще пролежала в коде.
Окно между раскрытием и первой реальной попыткой эксплуатации здесь было практически нулевым. Если у вас WordPress и вы ещё не проверили версию 7.1.2 или новее — это задача номер один на сегодня, а дальше стоит поискать конкретный маркер: новые или неожиданные PHP-файлы, появившиеся примерно во время раскрытия. Находить именно такие уязвимости тем и плагинов до того, как они превращаются в гонку одного дня, — работа нашего аудита безопасности WordPress и других CMS.