O WordPress 7.1.2 corrige uma vulnerabilidade de inclusão de arquivo local não autenticada, rastreada como CVE-2026-87902, com pontuação CVSS de 9.2. Essa falha, existente desde a versão 4.7, pode ser explorada para execução remota de código.
Detalhes Técnicos
A vulnerabilidade CVE-2026-87902 permite que um atacante não autenticado faça a resolução de modelo de página (get_page_template()) incluir um arquivo .php local legível escolhido fora dos diretórios de tema ativos.
Se as pré-condições relevantes para o servidor e o tema ativo forem atendidas, isso pode levar à execução remota de código (RCE).
Ações Recomendadas
Atualize o WordPress para a versão 7.1.2 ou superior imediatamente.
Verifique se o site está utilizando uma versão afetada (4.7 ou anterior) e priorize a atualização.
Monitore os logs de acesso e aplicação para detectar possíveis tentativas de exploração.
A CVE-2026-87902 representa uma ameaça significativa para instalações do WordPress, podendo ser explorada para execução remota de código.
