Ataques explotan CVE-2026-87902 para ejecutar código en sitios WordPress sin actualizar

Investigadores observaron explotación de CVE-2026-87902 pocas horas después de publicarse WordPress 7.1.2. La actividad evolucionó desde pruebas de reconocimiento hasta intentos de incluir pearcmd.php, escribir archivos PHP en disco y ejecutar comandos en servidores vulnerables.

Patchstack registró los primeros intentos el 22 de septiembre a las 17:44 UTC y posteriormente informó un aumento superior a diez veces en el volumen de tráfico asociado. La explotación se dirige a una falla de recorrido de rutas en la resolución de plantillas de página.

CVE-2026-87902 afecta WordPress desde 4.7.0 hasta 7.1.1. Sin autenticarse, un atacante puede forzar la inclusión de un archivo PHP local legible situado fuera de los directorios del tema activo.

La ejecución remota requiere condiciones adicionales en el tema y en el entorno PHP, como la presencia de un directorio superior cuyo nombre empiece por page- y un archivo PHP utilizable por el atacante. La combinación permite pasar de inclusión local de archivos a control del servidor web.

WordPress corrigió la vulnerabilidad en 7.1.2 y distribuyó versiones con el parche para las ramas elegibles hasta 4.7. Aunque las actualizaciones automáticas hayan comenzado, los administradores deben comprobar que la instalación realmente quedó en una compilación corregida.

La explotación activa, la ausencia de autenticación y el amplio rango de versiones convierten esta actualización en una prioridad crítica para proveedores de hosting y organizaciones con múltiples sitios WordPress. La verificación debe abarcar instalaciones olvidadas, entornos de prueba y subdominios.