CVE-2026-87902

Nome do Software Vulnerável e Versões Afetadas WordPress versões 4.7.0 até 7.1.1

Descrição Uma falha de travessia de caminho (path traversal) não autenticada existe na lógica de resolução de modelos de página da função get page template(). O problema ocorre porque o parâmetro pagename é decodificado tardiamente no processo, permitindo que segmentos dot-dot duplamente codificados ignorem a sanitização e escapem do diretório do tema ativo. Isso permite que um invasor inclua qualquer arquivo .php local legível fora dos diretórios do tema.

A Execução Remota de Código (RCE) é possível se condições específicas forem atendidas: o tema ativo deve ter um diretório de nível superior que comece com page- (ex: page-templates), e um arquivo PHP legível deve existir no servidor que possa ser usado como payload. Um vetor comum envolve o arquivo pearcmd.php quando a configuração register argc argv está habilitada, configuração encontrada em imagens Docker oficiais do PHP e configurações padrão do cPanel para versões do PHP anteriores a 8.5.

A exploração no mundo real começou poucas horas após a divulgação. Invasores foram observados usando uma cadeia de dois estágios: primeiro, usando o pearcmd.php via comando config-create para gravar um arquivo PHP malicioso em diretórios graváveis como /tmp ou /var/tmp e, segundo, incluindo esse arquivo para executar comandos de shell arbitrários.

Recomendações Atualize o WordPress para a versão 7.1.2, 7.0.6, 6.9.9, 6.8.10 ou a versão de segurança retroportada mais recente para versões a partir de 4.7.37. Desative a configuração register argc argv no php.ini para neutralizar o vetor de RCE envolvendo o pearcmd.php. Configure firewalls de aplicação web ou proxies reversos para bloquear sequências de travessia de diretório codificadas (ex: %2e%2e) no parâmetro pagename. Restrinja a execução de PHP em pastas de uploads e logs para minimizar o risco de execução de arquivos maliciosos carregados.