[TLP:CLEAR] WordPress opravuje aktívne zneužívanú zraniteľnosť

WordPress verziou 7.1.2 opravuje kritickú aktívne zneužívanú zraniteľnosť. Aktívne udržiavaná je len séria 7.1, oprava však vyšla aj pre všetky staršie vetvy až po 4.7 [1][2].

WordPress - RCE (CVE-2026-87902)
CVSS 9.2 (Critical)

Neautentizovanému vzdialenému útočníkovi je v dôsledku nedostatočného obmedzenia cesty pri vyhľadávaní šablóny stránky umožnené načítať lokálny .php súbor mimo adresárov aktívnej témy a spustiť ľubovoľný kód. Zneužitie je možné len vtedy, ak aktívna téma obsahuje adresár s názvom začínajúcim predponou page- a na serveri sa nachádza vhodný cieľový súbor [1].

Zraniteľnosť sa nachádza v produkte:

  • WordPress; >=7.1.0, <7.1.2; >=7.0.0, <7.0.6; >=6.9.0, <6.9.9; >=6.8.0, <6.8.10; >=6.7.0, <6.7.9; >=6.6.0, <6.6.9; >=6.5.0, <6.5.12; >=6.4.0, <6.4.12; >=6.3.0, <6.3.12; >=6.2.0, <6.2.13; >=6.1.0, <6.1.14; >=6.0.0, <6.0.16; >=5.9.0, <5.9.18; >=5.8.0, <5.8.17; >=5.7.0, <5.7.19; >=5.6.0, <5.6.21; >=5.5.0, <5.5.22; >=5.4.0, <5.4.23; >=5.3.0, <5.3.25; >=5.2.0, <5.2.28; >=5.1.0, <5.1.26; >=5.0.0, <5.0.29; >=4.9.0, <4.9.33; >=4.8.0, <4.8.32; >=4.7.0, <4.7.37

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

  • CVE-2026-87902 na cve.org, NVD
  • CWE-98: Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 9. 2026.

Za CESNET, z.s.p.o. Henrieta Paločková dňa 24. 9. 2026.

CESNET, z.s.p.o. Logo