На 22 септември 2026 WordPress пусна версия 7.1.2, която затваря критична дупка с номер CVE-2026-87902. Според бюлетина за сигурност човек без акаунт в сайта може при определени условия да накара WordPress да включи избран четим PHP файл от сървъра, а това може да доведе до отдалечено изпълнение на код. Бюлетинът я оценява с 9.2 по CVSS 4.0. Дупката е във всички версии от 4.7.0 до 7.1.1, а поправка има и за по-старите клонове. Съобщил я е Robert Ressl чрез отговорно разкриване.
Засегнат ли е Вашият сайт?
Всяка версия от 4.7.0 до 7.1.1 съдържа дупката. За всеки клон има по една поправена версия. Таблицата показва четирите най-нови клона, а за по-старите има поправени версии чак до 4.7.37, например 6.7.9 и 6.6.9. Пълният списък е в бюлетина.
| Клон | Поправена версия |
|---|---|
| 7.1 | 7.1.2 |
| 7.0 | 7.0.6 |
| 6.9 | 6.9.9 |
| 6.8 | 6.8.10 |
Версията се вижда в Tools > Site Health > Info, в секцията WordPress. Ако имате Terminal в cPanel, можете да я видите и с командата по-долу. Тя само чете и връща номера на версията. Още команди на WP-CLI ще намерите в ръководството за WP-CLI.
# cPanel > Terminal, в папката на сайта, само чете
wp core version
За да се стигне до изпълнение на код, трябва да са налице две условия. Първо, активната тема, дъщерна или родителска, трябва да има папка на най-горно ниво с име, което започва с page-, например page-templates. Според бюлетина това засяга старите Twenty Twelve и Twenty Fourteen и някои популярни теми от други автори, като Neve, Hestia и Sydney. Второ, на сървъра трябва да има подходящ .php файл, който акаунтът на уеб сървъра може да чете. Бюлетинът дава за пример pearcmd.php, когато register_argc_argv е включено, и отбелязва, че стандартната конфигурация на cPanel е засегната при PHP по-стар от 8.5.
Не е нужно да проверявате условията едно по едно. Ако версията Ви е по-стара от поправената за клона, обновете.
Какво да направите
- Обновете WordPress. Отворете
Dashboard > Updatesи натиснетеUpdate Nowили обновете сайта от WP Toolkit в cPanel. Ако сайтът получава автоматични фонови обновления, WordPress сам започва обновяването, но проверете дали е минало успешно. - Проверете версията в
Tools > Site Health > Infoили сwp core version. Тя трябва да е поне поправената за Вашия клон. - Ако сайтът Ви е на по-стар клон, например 6.8, има поправка и за него. WordPress я пренесе от добра воля към всички клонове до 4.7, но напомня, че активно се поддържа само най-новата версия. Планирайте преминаването към нея.
Бюлетинът не посочва временно решение, затова обновлението е единственият начин да затворите дупката.
Какво правим ние
Ако не искате да следите лично такива обновления, при наблюдението на уязвимостите сверяваме WordPress, плъгините и темите на Вашия сайт с базите данни с уязвимости и Ви казваме какво да обновите, преди някой да се възползва от слабото място, където и да е хостнат сайтът. Пишете ни през формата за запитване, ако искате да следим и Вашия сайт.
Често задавани въпроси
Какво е CVE-2026-87902?
Критична уязвимост в ядрото на WordPress, поправена във версия 7.1.2 от 22 септември 2026 г. При определени условия човек без акаунт в сайта може да накара WordPress да зареди избран PHP файл от сървъра, а това може да доведе до изпълнение на код от разстояние. Бюлетинът за сигурност я оценява с 9.2 по CVSS 4.0.
Кои версии на WordPress са засегнати от CVE-2026-87902?
Всички версии от 4.7.0 до 7.1.1. Поправката е по една версия за всеки клон, например 7.1.2, 7.0.6, 6.9.9 и 6.8.10, а за по-старите клонове има версии чак до 4.7.37. Пълният списък е в бюлетина на WordPress.
Как да видя версията на WordPress?
В админа отворете Tools > Site Health > Info и вижте секцията WordPress. В Terminal на cPanel командата wp core version, пусната в папката на сайта, само чете и връща номера на версията. Версията трябва да е поне поправената за Вашия клон.
Атакува ли се вече CVE-2026-87902?
Да. Patchstack съобщава за първите опити до своята защитна стена в 11:49 UTC на 22 септември 2026 г., в деня, в който излезе WordPress 7.1.2. В обновление от 23 септември компанията вижда и опити за записване на PHP файлове на диска.
Кои теми правят сайта уязвим за CVE-2026-87902?
Първото условие е активната тема, дъщерна или основна, да има папка на първо ниво, чието име започва с page-, например page-templates. Според бюлетина това засяга старите теми Twenty Twelve и Twenty Fourteen и някои популярни теми на други автори като Neve, Hestia и Sydney. Ако версията Ви е под поправената, обновете, без да проверявате условията поотделно.
Засегнат ли е сайт на cPanel?
Второто условие за CVE-2026-87902 е на сървъра да има .php файл, който акаунтът на уеб сървъра може да чете. Бюлетинът дава за пример pearcmd.php при включен register_argc_argv и посочва, че стандартната конфигурация на cPanel е засегната при PHP по-стара от 8.5.
Има ли временно решение, ако не мога да обновя WordPress?
Не. Бюлетинът за CVE-2026-87902 не посочва временно решение, така че обновяването е единственият начин дупката да се затвори. Обновете от Dashboard > Updates с Update Now или през WP Toolkit в cPanel.
Има ли поправка за по-стари клонове като WordPress 6.8?
Да. WordPress пренесе поправката като жест към всички клонове до 4.7, така че за 6.8 версията е 6.8.10. WordPress напомня, че активно се поддържа само най-новата версия, затова планирайте преминаването към нея.