CVE-2026-87902

اسم البرنامج المصاب والإصدارات المتأثرة WordPress الإصدارات من 4.7.0 إلى 7.1.1

الوصف توجد ثغرة تجاوز المسار (path traversal) غير مصادق عليها في منطق دقة قالب الصفحة في الدالة get page template(). تحدث المشكلة لأن المعلمة pagename يتم فك تشفيرها في مرحلة متأخرة من العملية، مما يسمح لقطع dot-dot المشفرة مزدوجًا بتجاوز عملية التطهير والخروج من دليل القالب النشط. يتيح ذلك للمهاجم تضمين أي ملف .php محلي قابل للقراءة خارج أدلة القالب.

يمكن تحقيق تنفيذ التعليمات البرمجية عن بُعد (RCE) إذا تم استيفاء شروط معينة: يجب أن يحتوي القالب النشط على دليل في المستوى الأعلى يبدأ بـ page- (مثل page-templates)، ويجب أن يوجد ملف PHP قابل للقراءة على الخادم يمكن استخدامه كحمولة. يتضمن أحد المتجهات الشائعة ملف pearcmd.php عندما يكون إعداد register argc argv مفعلًا، وهو تكوين موجود في صور Docker الرسمية لـ PHP وإعدادات cPanel الافتراضية لإصدارات PHP الأقدم من 8.5.

بدأت عمليات الاستغلال الفعلية في غضون ساعات من الكشف عن الثغرة. لوحظ أن المهاجمين يستخدمون سلسلة من مرحلتين: أولاً، استخدام pearcmd.php عبر أمر config-create لكتابة ملف PHP ضار في أدلة قابلة للكتابة مثل /tmp أو /var/tmp وثانيًا، تضمين هذا الملف لتنفيذ أوامر shell عشوائية.

التوصيات تحديث WordPress إلى الإصدار 7.1.2 أو 7.0.6 أو 6.9.9 أو 6.8.10 أو أحدث إصدار أمني مدعوم للإصدارات بدءًا من 4.7.37. تعطيل إعداد register argc argv في ملف php.ini لتحييد متجه RCE المتعلق بـ pearcmd.php. تكوين جدران حماية تطبيقات الويب أو الوكلاء العكسيين لحظر تسلسلات تجاوز الدليل المشفرة (مثل %2e%2e) ضمن المعلمة pagename. تقييد تنفيذ PHP في مجلدات الرفع والسجلات لتقليل مخاطر تنفيذ الملفات الضارة المرفوعة.