Los atacantes explotan la vulnerabilidad CVE-2026-87902 de WordPress a las pocas horas de su divulgación.

Los ciberdelincuentes han comenzado a explotar activamente una vulnerabilidad crítica de seguridad en WordPress a las pocas horas de su divulgación pública.

La vulnerabilidad en cuestión es CVE-2026-87902 (puntuación CVSS: 9.2), que podría permitir a un atacante no autenticado obtener ejecución remota de código (RCE).

"Un atacante no autenticado puede hacer que la resolución de plantillas de página get_page_template() incluya un archivo .php local legible, elegido fuera de los directorios del tema activo", indicó WordPress en un aviso publicado hace dos días. "Si se cumplen las condiciones previas pertinentes tanto para el entorno del servidor como para el tema activo, esto puede conducir a la ejecución remota de código (RCE)".

La explotación exitosa depende del cumplimiento de dos requisitos previos:

El tema hijo o padre activo contiene un directorio de nivel superior cuyo nombre comienza con page- (por ejemplo, page-templates).

Existe un archivo .php local objetivo elegido en el servidor y es legible por la cuenta del servidor web (por ejemplo, pearcmd.php).

En un comunicado compartido con The Hacker News, Previdian informó haber detectado intentos de explotación dirigidos a la vulnerabilidad CVE-2026-87902 contra su red honeypot. Las solicitudes maliciosas se originan desde una dirección IP (104.194.9[.]227) ubicada en el estado de Nueva Jersey, EE. UU.

Estas solicitudes incluyen el archivo PHP local /usr/local/lib/php/pearcmd.php, la escritura de un archivo en /tmp/ y la inclusión de un script de carga PHP alojado en GitHub ("raw.githubusercontent[.]com/MrG3P5/web-shell/refs/heads/main/uploader.php").