Angribere er gået fra at lede efter en RCE-sårbarhed i WordPress til at forsøge at skrive ondsindede filer på sårbare websteder. Nogle observerede payloads kan køre shell-kommandoer, hvis nogen tilgår filerne, ifølge sikkerhedsvirksomheden Patchstack.
Angreb begyndte få timer efter patchen
Sårbarheden, CVE-2026-87902, fik en kritisk alvorlighedsscore på 9,2 ud af 10. WordPress rettede den i version 7.1.2 den 22. september 2026.
Patchstack registrerede de første ondsindede anmodninger mindre end fem timer efter, at patchen blev udgivet. I begyndelsen forsøgte angribere at inkludere almindelige WordPress-filer, tilsyneladende for at identificere sårbare websteder.
Angrebstrafikken steg dog senere tidoblet. Forskerne så derefter anmodninger, der var designet til at skrive PHP-filer til disken. Nogle filer markerede blot et websted som sårbart, mens andre indeholdt kode, der kunne køre en shell-kommando, når filen blev tilgået.
Patchstack beskrev disse som udnyttelsesforsøg. Virksomhedens observationer fastslår ikke, hvor mange websteder angriberne faktisk formåede at kompromittere.
Kørsel af kode kræver specifikke betingelser
RCE-sårbarheden i WordPress er et ikke-godkendt path traversal-problem i håndteringen af sideskabeloner. Den kan få WordPress til at inkludere en læsbar PHP-fil uden for mapperne for det aktive tema.
Ekstern kørsel af kode kræver yderligere betingelser. Det aktive tema skal indeholde en mappe på øverste niveau, hvis navn begynder med page-. Angriberen skal også identificere en egnet lokal PHP-fil, som webserveren kan læse.
WordPress’ sikkerhedsmeddelelse identificerer eksempelvis pearcmd.php som et muligt mål under visse PHP-indstillinger. Den bemærker også, at nogle almindelige Docker- og cPanel-konfigurationer opfylder disse betingelser.
Webstedsejere bør opdatere og gennemgå logfiler
WordPress har udgivet en rettelse i version 7.1.2 og backportet den til grene helt tilbage til 4.7. Derfor bør administratorer hurtigt installere den relevante patchede version til deres gren.
De bør også gennemgå weblogfiler for mistænkelige sideanmodninger og undersøge uventede PHP-filer, især i midlertidige mapper. Patchstack observerede, at angribere forsøgte at placere filer i /tmp og /var/tmp.
0 svar til “Hackere udnytter RCE-sårbarhed i WordPress efter udgivelsen af en patch”