Hackare utnyttjar RCE-sårbarhet i WordPress efter att patch släppts

Angripare har gått från att söka efter en RCE-sårbarhet i WordPress till att försöka skriva skadliga filer på sårbara webbplatser. Vissa observerade nyttolaster kan köra shell-kommandon om någon öppnar filerna, enligt säkerhetsföretaget Patchstack.

Attacker började timmar efter patchen

Sårbarheten, CVE-2026-87902, fick en kritisk allvarlighetsgrad på 9,2 av 10. WordPress åtgärdade den i version 7.1.2 den 22 september 2026.

Patchstack registrerade sina första skadliga förfrågningar mindre än fem timmar efter att patchen släpptes. Till en början försökte angripare inkludera vanliga WordPress-filer, uppenbarligen för att identifiera sårbara webbplatser.

Attacktrafiken ökade dock senare tiofaldigt. Forskarna såg då förfrågningar utformade för att skriva PHP-filer till disk. Vissa filer markerade helt enkelt en webbplats som sårbar, medan andra innehöll kod som kunde köra ett shell-kommando när filen öppnades.

Patchstack beskrev dessa som försök till exploatering. Företagets observationer fastställer inte hur många webbplatser angripare lyckades kompromettera.

Kodkörning kräver specifika villkor

RCE-sårbarheten i WordPress är ett oautentiserat path traversal-problem i hanteringen av sidmallar. Den kan få WordPress att inkludera en läsbar PHP-fil utanför katalogerna för det aktiva temat.

Fjärrkörning av kod kräver ytterligare villkor. Det aktiva temat måste innehålla en katalog på högsta nivå vars namn börjar med page-. Angriparen måste också identifiera en lämplig lokal PHP-fil som webbservern kan läsa.

WordPress säkerhetsmeddelande identifierar exempelvis pearcmd.php som ett möjligt mål under vissa PHP-inställningar. Det noterar också att vissa vanliga Docker- och cPanel-konfigurationer uppfyller dessa villkor.

Webbplatsägare bör uppdatera och granska loggar

WordPress har släppt en korrigering i version 7.1.2 och bakåtportat den till grenar så långt tillbaka som 4.7. Därför bör administratörer snarast installera den lämpliga patchade versionen för sin gren.

De bör också granska webbloggar efter misstänkta sidförfrågningar och undersöka oväntade PHP-filer, särskilt i tillfälliga kataloger. Patchstack observerade att angripare försökte placera filer i /tmp och /var/tmp.