Uma vulnerabilidade crítica, identificada como CVE-2026-87902, foi descoberta no WordPress, permitindo que atacantes não autenticados incluam arquivos locais arbitrários, o que pode levar à execução de código remoto (RCE) em sites vulneráveis. A falha foi corrigida na versão 7.1.2 do WordPress, lançada em 22 de setembro de 2026. Atacantes estão explorando ativamente essa vulnerabilidade para escrever arquivos no disco que executam comandos shell quando acessados.
Detalhes Técnicos
CVE-2026-87902: Vulnerabilidade de inclusão de arquivo local não autenticada no WordPress, com potencial para execução de código remoto.
CVSS: 9.2
Data de Publicação: 22 de setembro de 2026
Versão Afetada: WordPress 4.7 a 7.1.1
Versão Corrigida: WordPress 7.1.2
Exploração: Atacantes podem incluir arquivos .php locais arbitrários, levando potencialmente à execução de código remoto se as condições prévias do servidor e do tema ativo forem atendidas.
Próximos Passos
Atualize o WordPress para a versão 7.1.2 ou superior imediatamente.
Verifique se seu site WordPress está vulnerável e foi explorado.
Monitore os logs de acesso e sistema para atividades suspeitas.
Considere a implementação de medidas de segurança adicionais, como firewalls de aplicativo web e sistemas de detecção de intrusão.
