Hackere utnytter RCE-sårbarhet i WordPress etter at patch ble utgitt

Angripere har gått fra å lete etter en RCE-sårbarhet i WordPress til å forsøke å skrive ondsinnede filer på sårbare nettsteder. Noen observerte nyttelaster kan kjøre shell-kommandoer hvis noen åpner filene, ifølge sikkerhetsselskapet Patchstack.

Angrep begynte timer etter patchen

Sårbarheten, CVE-2026-87902, fikk en kritisk alvorlighetsgrad på 9,2 av 10. WordPress rettet den i versjon 7.1.2 den 22. september 2026.

Patchstack registrerte de første ondsinnede forespørslene mindre enn fem timer etter at patchen ble tilgjengelig. Til å begynne med forsøkte angripere å inkludere vanlige WordPress-filer, tilsynelatende for å identifisere sårbare nettsteder.

Angrepstrafikken økte imidlertid senere tidoblet. Forskerne så deretter forespørsler utformet for å skrive PHP-filer til disk. Noen filer markerte ganske enkelt et nettsted som sårbart, mens andre inneholdt kode som kunne kjøre en shell-kommando når filen ble åpnet.

Patchstack beskrev disse som utnyttelsesforsøk. Observasjonene deres fastslår ikke hvor mange nettsteder angriperne faktisk klarte å kompromittere.

Kjøring av kode krever spesifikke betingelser

RCE-sårbarheten i WordPress er et uautentisert path traversal-problem i håndteringen av sidemaler. Den kan føre til at WordPress inkluderer en lesbar PHP-fil utenfor katalogene til det aktive temaet.

Ekstern kjøring av kode krever ytterligere betingelser. Det aktive temaet må inneholde en katalog på øverste nivå med et navn som begynner med page-. Angriperen må også identifisere en egnet lokal PHP-fil som webserveren kan lese.

WordPress» sikkerhetsvarsel identifiserer for eksempel pearcmd.php som et mulig mål under visse PHP-innstillinger. Det påpeker også at enkelte vanlige Docker- og cPanel-konfigurasjoner oppfyller disse betingelsene.

Nettstedseiere bør oppdatere og gjennomgå logger

WordPress har utgitt en rettelse i versjon 7.1.2 og tilbakeført den til grener helt tilbake til 4.7. Derfor bør administratorer raskt installere den riktige patchede versjonen for sin gren.

De bør også gjennomgå webblogger for mistenkelige sideforespørsler og undersøke uventede PHP-filer, spesielt i midlertidige kataloger. Patchstack observerte at angripere forsøkte å plassere filer i /tmp og /var/tmp.