Kritiska WordPress ievainojamība CVE-2026-87902

Vairākās WordPress versijās atklāta kritiska ievainojamība CVE-2026-87902 ar CVSS vērtējumu 9,2.  Tā neautentificētam uzbrucējam ļauj panākt, ka get_page_template() funkcija lapas veidnes noteikšanas procesā iekļauj lasāmu .php failu ārpus aktīvās tēmas direktorijām. Ievainojamībai ir publiski pieejams PoC (proof of concept), tāpēc ir sagaidāms, ka tā tiks aktīvi izmantota uzbrukumos.

Pie noteiktiem nosacījumiem, izmantojot šo ievainojamību, ir iespējams panākt attālinātu koda izpildi serverī. Šie nosacījumi ir saistīti ar izmantotās tēmas struktūru un serverī pieejamiem failiem.

Nepieciešamās darbības:

• Pēc iespējas ātrāk atjaunināt WordPress uz versiju 7.1.2, vai citu versiju (labojumi ir izdoti arī vecākām versijām līdz pat 4.7), kurā šī ievainojamība ir labota. 

Ietekmētās versijas:

• 7.1.0 - 7.1.1, labots versijā 7.1.2
• 7.0.0 - 7.0.5, labots versijā 7.0.6
• 6.9.0 - 6.9.8, labots versijā 6.9.9
• 6.8.0 - 6.8.9, labots versijā 6.8.10
• 6.7.0 - 6.7.8, labots versijā 6.7.9
• 6.6.0 - 6.6.8, labots versijā 6.6.9
• 6.5.0 - 6.5.11, labots versijā 6.5.12
• 6.4.0 - 6.4.11, labots versijā 6.4.12
• 6.3.0 - 6.3.11, labots versijā 6.3.12
• 6.2.0 - 6.2.12, labots versijā 6.2.13
• 6.1.0 - 6.1.13, labots versijā 6.1.14
• 6.0.0 - 6.0.15, labots versijā 6.0.16
• 5.9.0 - 5.9.17, labots versijā 5.9.18
• 5.8.0 - 5.8.16, labots versijā 5.8.17
• 5.7.0 - 5.7.18, labots versijā 5.7.19
• 5.6.0 - 5.6.20, labots versijā 5.6.21
• 5.5.0 - 5.5.21, labots versijā 5.5.22
• 5.4.0 - 5.4.22, labots versijā 5.4.23
• 5.3.0 - 5.3.24, labots versijā 5.3.25
• 5.2.0 - 5.2.27, labots versijā 5.2.28
• 5.1.0 - 5.1.25, labots versijā 5.1.26
• 5.0.0 - 5.0.28, labots versijā 5.0.29
• 4.9.0 - 4.9.32, labots versijā 4.9.33
• 4.8.0 - 4.8.31, labots versijā 4.8.32
• 4.7.0 - 4.7.36, labots versijā 4.7.37

Papildus informācija no izstrādātāja:
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp