Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] WordPress opravuje aktivně zneužívanou zranitelnost

WordPress verzí 7.1.2 opravuje kritickou aktivně zneužívanou zranitelnost. Aktivně udržovaná je pouze série 7.1, oprava však vyšla i pro všechny starší větve až po 4.7 [1][2].

WordPress - RCE (CVE-2026-87902)
CVSS 9.2 (Critical)

Neautentizovanému vzdálenému útočníkovi je v důsledku nedostatečného omezení cesty při vyhledávání šablony stránky umožněno načíst lokální .php soubor mimo adresáře aktivního tématu a spustit libovolný kód. Zneužití je možné pouze tehdy, pokud aktivní téma obsahuje adresář s názvem začínajícím předponou page- a na serveru se nachází vhodný cílový soubor [1].

Zranitelnost se nachází v produktu:

  • WordPress; >=7.1.0, <7.1.2; >=7.0.0, <7.0.6; >=6.9.0, <6.9.9; >=6.8.0, <6.8.10; >=6.7.0, <6.7.9; >=6.6.0, <6.6.9; >=6.5.0, <6.5.12; >=6.4.0, <6.4.12; >=6.3.0, <6.3.12; >=6.2.0, <6.2.13; >=6.1.0, <6.1.14; >=6.0.0, <6.0.16; >=5.9.0, <5.9.18; >=5.8.0, <5.8.17; >=5.7.0, <5.7.19; >=5.6.0, <5.6.21; >=5.5.0, <5.5.22; >=5.4.0, <5.4.23; >=5.3.0, <5.3.25; >=5.2.0, <5.2.28; >=5.1.0, <5.1.26; >=5.0.0, <5.0.29; >=4.9.0, <4.9.33; >=4.8.0, <4.8.32; >=4.7.0, <4.7.37

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Více informací:

  • CVE-2026-87902 na cve.org, NVD
  • CWE-98: Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 22. 9. 2026.

Za CESNET, z.s.p.o. Henrieta Paločková dne 24. 9. 2026.

CESNET, z.s.p.o. Logo