WordPress vá lỗi nghiêm trọng có thể dẫn đến thực thi mã trên một số máy chủ
"WordPress released fixes for a critical core vulnerability, CVE-2026-87902, affecting versions 4.7.0 through 7.1.1. The flaw could let an unauthenticated attacker force loading of a PHP file outside the theme directory and, on some servers, potentially achieve code execution; WordPress 7.1.2 and corresponding backports address the issue with no workaround other than updating."
Ảnh hưởng đến WordPress core trên nhiều phiên bản; có thể dẫn đến thực thi mã trên một số máy chủ nếu điều kiện khai thác phù hợp. Không có workaround, nên cập nhật ngay là biện pháp bắt buộc.
Có thể ảnh hưởng đến website doanh nghiệp, đặc biệt các hệ thống dùng WordPress tự quản trị. Việc chậm vá có thể làm tăng rủi ro gián đoạn dịch vụ, xâm nhập và phát sinh chi phí xử lý sự cố.
WordPress đã phát hành bản sửa cho một lỗ hổng nghiêm trọng trong core, được gán CVE-2026-87902 và có CVSS 9.2. Lỗi ảnh hưởng đến các phiên bản từ 4.7.0 đến 7.1.1 và cho phép kẻ tấn công không cần xác thực buộc hệ thống tải một tệp PHP nằm ngoài thư mục theme. Trên một số máy chủ, điều này có thể được khai thác tiếp để dẫn đến thực thi mã.
Bản vá đã có trong WordPress 7.1.2 và được backport cho các nhánh còn được hỗ trợ, gồm 7.0.6, 6.9.9, 6.8.10, 6.7.9 và 6.6.9; các nhánh cũ hơn cũng có bản cập nhật tương ứng. WordPress cho biết không có biện pháp khắc phục tạm thời ngoài việc cập nhật.
Theo mô tả kỹ thuật, khả năng khai thác phụ thuộc vào cấu hình theme và máy chủ, nên không phải mọi site bị ảnh hưởng đều dẫn tới thực thi mã. Tuy vậy, quản trị viên nên cập nhật ngay, kiểm tra tự động cập nhật nền, và xác minh phiên bản đang chạy. Tại thời điểm công bố, chưa ghi nhận việc khai thác thực tế, chưa có PoC công khai, và chưa xuất hiện trong danh mục CISA KEV.