Radar · Безопасность · 22 сентября 2026 · обновлено 24 сентября
WordPress 7.1.2: критическое обновление безопасности
WordPress выпустил security-релиз 7.1.2 из-за критической уязвимости ядра. 24 сентября статус события изменился: исследователи подтвердили активные попытки эксплуатации CVE-2026-87902 в реальных атаках.
Что произошло
Security-релиз закрывает критическую уязвимость WordPress Core
22 сентября 2026 года WordPress опубликовал версию 7.1.2. В официальном сообщении уязвимость названа критической. Она связана с разрешением шаблонов страниц: неаутентифицированный атакующий при наличии дополнительных условий мог добиться подключения выбранного читаемого локального PHP-файла за пределами каталогов активной темы.
24 сентября: появились подтверждения реальной эксплуатации. По данным исследователей, после первоначального сканирования атакующие перешли к запросам, рассчитанным на выполнение кода и запись PHP-файлов в /tmp и /var/tmp. Это повышает приоритет проверки сайтов, которые успели оставаться доступными из интернета до установки исправления.
Кого касается
WordPress-сайты, которые ещё не получили исправление своей security-ветки
Затронуты версии WordPress с 4.7.0 по 7.1.1 включительно. Исправление выпущено в 7.1.2 и перенесено в поддерживаемые старые ветки, включая 7.0.6, 6.9.9 и 6.8.10. Поэтому проверять нужно не только сайты на 7.1.x: важен фактический номер установленной версии и наличие security-backport для используемой ветки.
Переход от локального включения файла к выполнению кода зависит от окружения и активной темы. Повышенного внимания требуют конфигурации, где присутствуют подходящие локальные PHP-файлы и соответствующие настройки PHP; среди типичных примеров исследователи отдельно отмечают некоторые cPanel-конфигурации с PHP ниже 8.5 и официальные PHP Docker images.
Что проверить
Пять шагов после подтверждения эксплуатации
- Проверить фактическую версию WordPress и убедиться, что установлен 7.1.2 либо соответствующий исправленный security-backport старой ветки.
- Если обновление ещё не установлено — сделать его приоритетно, предварительно сохранив рабочую точку восстановления файлов и базы данных.
- Просмотреть access/error logs за период с 22 сентября и обратить внимание на необычные запросы к шаблонам страниц и повторяющиеся ошибки включения PHP-файлов.
- Проверить временные каталоги и изменённые файлы, в том числе
/tmpи/var/tmp, если сайт оставался доступен на уязвимой версии. - Проверить сайт после обновления: шаблоны страниц, формы, вход в админку, PHP-ошибки, новых администраторов и другие признаки компрометации.
Первичный источник
WordPress.org
WordPress 7.1.2 Release, 22.09.2026. В релизе также указаны CVE2026-87902GHSA7hp8-65ch-5whp
Patchstack: первые попытки эксплуатации и рекомендации по проверке.
Previdian: CVE-2026-87902 отмечена как Confirmed / Observed.
Radar фиксирует событие и практический следующий шаг. Подробности эксплуатации уязвимостей здесь не публикуем.