La vulnerabilità è tracciata come CVE-2026-87902 e il team di sicurezza di WordPress le ha assegnato un punteggio di 9.2 su 10 secondo la scala CVSS v4. Significa gravità critica, con bassa complessità di attacco e senza bisogno di autenticazione o interazione da parte dell’utente.
Il 22 settembre WordPress ha rilasciato la versione 7.1.2, che corregge una vulnerabilità di sicurezza critica che consente a un attaccante non autenticato di far caricare al software un file PHP scelto da lui, da una posizione esterna alle cartelle del tema attivo. In determinate configurazioni del server e del tema, l’attaccante può ottenere anche l’esecuzione di codice sul server.
Cosa non funziona
La vulnerabilità si trova in una funzione del core di WordPress che si occupa di scegliere il file template corretto durante il rendering di una pagina. L’errore è nella funzione get_page_template(), che WordPress utilizza per scegliere il file del tema che genera la pagina. Un attaccante può deviare questa ricerca verso un file .php leggibile in un altro punto del server.
Si tratta di un errore di path traversal: la richiesta esce dalla directory in cui il codice avrebbe dovuto rimanere, WordPress include poi quel file e PHP esegue il codice che contiene.
Il ricercatore di sicurezza Roberts Ressls, che ha scoperto la vulnerabilità e l’ha segnalata privatamente tramite il programma HackerOne, spiega che il problema principale è l’inclusione di un file PHP locale tramite una richiesta frontend non autenticata.
Nella catena da lui dimostrata, dall’inclusione all’esecuzione di codice PHP arbitrario sono stati sfruttati componenti PEAR già disponibili nell’ambiente server testato. PEAR non è una dipendenza di WordPress, quindi questo percorso non è disponibile in ogni installazione. Ciò significa che l’esecuzione effettiva di codice (RCE) non è garantita su ogni sito, ma l’inclusione del file è possibile praticamente ovunque la vulnerabilità non sia stata corretta.
Una ricerca di sicurezza indipendente conferma il meccanismo in parole più semplici:
l’attaccante invia una richiesta anonima con due valori pubblici, pagename e page_id. page_id punta a una pagina realmente pubblicata, quindi WordPress la gestisce normalmente. Il valore di pagename, che contiene un path traversal con doppia codifica, rimane nella richiesta.
Quali versioni sono interessate
Il progetto WordPress considera interessate tutte le versioni dalla 4.7.0 alla 7.1.1, quindi in pratica quasi tutte le installazioni di WordPress oggi in uso che non sono state aggiornate tempestivamente.
La correzione
La correzione è inclusa nella versione 7.1.2, oltre che in 24 rami precedenti, dalla 7.0.6 fino alla 4.7.37. I siti che accettano gli aggiornamenti automatici in background si aggiorneranno da soli, mentre gli altri devono farlo dalla sezione “Aggiornamenti” del pannello di controllo.
Il team di sicurezza di WordPress sottolinea che, trattandosi di una versione di sicurezza, si consiglia di aggiornare i siti immediatamente.
La situazione è particolarmente urgente perché la vulnerabilità è già sfruttata nella pratica. L’azienda di sicurezza Patchstack segnala che tentativi di attacco sono stati osservati lo stesso giorno della pubblicazione della correzione: la prima attività rilevata risale al 22 settembre 2026 alle 17:44 UTC. Tra la divulgazione pubblica e i primi tentativi di attacco sono passate solo poche ore.
Cosa fare ora
- Aggiornate WordPress alla 7.1.2 (o alla corrispondente versione di sicurezza per un ramo precedente) subito: è l’azione più importante.
- Se non è possibile aggiornare subito, valutate misure di mitigazione a livello di server, come suggeriscono i ricercatori di sicurezza, ad esempio regole di tipo WAF/RapidMitigate.
- Controllate i log del server e di WordPress per individuare richieste insolite che contengono il parametro pagename con caratteri di path traversal codificati.
- Assicuratevi che gli aggiornamenti automatici in background siano attivi, per risolvere più rapidamente incidenti simili in futuro.
Nota: questo articolo descrive la vulnerabilità solo a scopo informativo e di difesa, sulla base di rapporti di sicurezza pubblicamente disponibili. Non include passaggi di sfruttamento né codice.
Fonti:
- WordPress 7.1.2 corregge una vulnerabilità critica di path traversal non autenticato (CVE-2026-87902) – Help Net Security
- CVE-2026-87902: un PoC funzionante per il path traversal critico di WordPress – Hadrian
- CVE-2026-87902: gli attaccanti hanno iniziato a sondare i siti WordPress poche ore dopo la patch – Patchstack
- CVE-2026-87902: inclusione di file critica in WordPress e RCE condizionale — Robert Ressl
- WordPress 7.1.2 corregge la falla di file inclusion CVE-2026-87902 – Cyber Kendra