Uma nova vulnerabilidade crítica no WordPress, identificada como CVE-2026-87902, foi divulgada em 22 de setembro de 2026 e permite que atacantes não autenticados executem código remotamente em servidores sob certas condições. O problema está relacionado a uma falha de travessia de caminho na resolução de templates de página do WordPress, com um CVSS de 9.2, o que indica sua gravidade.
O WordPress lançou o patch para essa vulnerabilidade na versão 7.1.2, recomendando que todos os administradores atualizassem suas instalações imediatamente. A falha permite que um atacante faça com que a função get_page_template() inclua um arquivo PHP legível localizado fora das pastas de tema ativas. Para que a exploração seja bem-sucedida, o tema ativo deve ter um diretório de nível superior que comece com “page-“, e o arquivo PHP alvo deve ser acessível ao servidor web.
Os primeiros relatos de exploração começaram a surgir poucas horas após a divulgação da vulnerabilidade. A análise da empresa de segurança Patchstack revelou que os ataques começaram como tentativas de reconhecimento, mas rapidamente evoluíram para tentativas de comprometer sistemas, com um aumento de dez vezes na atividade maliciosa registrado após o patch. Os atacantes estavam, inicialmente, verificando se os servidores eram vulneráveis e, em seguida, tentando incluir o arquivo pearcmd.php para executar comandos shell.
A vulnerabilidade foi descoberta pelo pesquisador Robert Ressl, que detalhou as condições necessárias para a exploração. A configuração do servidor e a estrutura do tema ativo são cruciais para que o ataque seja bem-sucedido. Temas como Twenty Twelve e Twenty Fourteen, além de vários temas de terceiros, são suscetíveis a essa falha.
Após a liberação do patch, um número crescente de tentativas de exploração foi observado, com os atacantes tentando escrever arquivos PHP maliciosos em diretórios como /tmp e /var/tmp. Os arquivos criados incluem nomes como wp-pear-rce-flag.php e poc87902.php, indicando que os atacantes estão tentando estabelecer um ponto de controle em servidores vulneráveis.
Além disso, a empresa de segurança Previdian relatou que suas redes de honeypot também detectaram tentativas de exploração, com um tráfego malicioso originando-se de diversos endereços IP, incluindo um localizado em Nova Jersey, EUA. Essa atividade sugere que, apesar da rápida correção, os atacantes estão prontos para explorar a vulnerabilidade em larga escala.
Os administradores de sites WordPress são aconselhados a aplicar as atualizações de segurança o mais rápido possível e a revisar os registros de acesso em busca de atividades suspeitas. A vulnerabilidade CVE-2026-87902 representa um risco significativo, especialmente para aqueles que não mantêm suas instalações atualizadas.
Enquanto a exploração ativa da falha continua, a expectativa é que novos métodos de ataque possam surgir, e os administradores devem permanecer vigilantes. A rápida resposta da comunidade de segurança e a correção do WordPress são passos cruciais, mas o monitoramento constante será essencial para prevenir comprometimentos futuros.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews