WordPress CVE-2026-87902 bị khai thác trong vài giờ sau khi công bố
"Attackers began exploiting WordPress CVE-2026-87902, a critical unauthenticated remote code execution flaw with a CVSS score of 9.2, within hours of public disclosure. Exploitation requires specific theme and server conditions, but observed attacks use pearcmd.php to write attacker-controlled PHP files to disk and then execute a web shell; WordPress has released fixed versions 7.1.2, 7.0.6, 6.9.9, and 6.8.10."
Rủi ro thực thi mã từ xa trên WordPress; có dấu hiệu khai thác chủ động sau công bố; cần vá ngay và kiểm tra dấu vết xâm nhập.
Có thể ảnh hưởng đến tính sẵn sàng và an toàn dữ liệu của website; nếu bị khai thác thành công có thể dẫn tới chiếm quyền máy chủ và gián đoạn dịch vụ.
Các tác nhân tấn công đã bắt đầu khai thác CVE-2026-87902 trên WordPress chỉ trong vài giờ sau khi lỗ hổng được công bố. Đây là lỗi RCE không cần xác thực với CVSS 9.2, có thể cho phép kẻ tấn công thực thi mã từ xa nếu hệ thống đáp ứng các điều kiện cụ thể về theme và môi trường máy chủ.
Theo các quan sát ban đầu, chuỗi khai thác thường nhắm tới pearcmd.php để ghi tệp PHP do kẻ tấn công kiểm soát xuống đĩa, sau đó gọi một web shell. Một số yêu cầu độc hại còn tạo tệp trong /tmp hoặc /var/tmp với tên như wp-pear-rce-flag.php hay poc87902.php. Telemetry ghi nhận 68 lần thử khai thác từ 23/09/2026, với lưu lượng đến từ nhiều địa chỉ IP khác nhau.
WordPress đã phát hành các bản vá trong 7.1.2, 7.0.6, 6.9.9 và 6.8.10. Quản trị viên nên cập nhật ngay, rà soát nhật ký truy cập, kiểm tra dấu hiệu ghi tệp bất thường và xác minh không có PHP file lạ hoặc web shell trên máy chủ.