home / blog
2026-09-22 · critica
WordPress: path traversal non autenticato nel core (CVE-2026-87902)
Path traversal non autenticato nel core di WordPress, con esecuzione di codice in condizioni specifiche. Correzione in 7.1.2.
Il 22 settembre 2026 WordPress ha rilasciato la versione 7.1.2, che corregge una vulnerabilità critica di path traversal non autenticata, CVE-2026-87902. Il difetto è nella funzione get_page_template() in wp-includes/template.php e, secondo le fonti, è presente dalla versione 4.7 del dicembre 2016.
Il difetto permette a un attaccante remoto, senza credenziali, di includere un file PHP leggibile al di fuori delle directory dei temi attivi. L'esecuzione di codice non è automatica: dipende da condizioni di configurazione del server e del tema, che le fonti descrivono in modo non identico. Il rischio reale va quindi valutato sul proprio ambiente, non assunto in astratto.
La gravità è riportata con valori diversi: 9,2 con CVSS v4.0 secondo Safe Security, 8,1 su 10 secondo TechRadar. Su un punto le fonti concordano: secondo SecurityWeek i tentativi di sfruttamento sono iniziati entro poche ore dalla divulgazione.
Le correzioni sono nel rilascio 7.1.2 e nei backport per i rami precedenti: 7.0.6 e 6.9.9, e fino alla 4.7.37 secondo Drweb. Il solo aggiornamento del core non basta a chiudere il rischio se il tema attivo è vulnerabile o non aggiornato.
Aggiornare WordPress al ramo corretto, verificare il tema attivo e controllare i log per richieste anomale verso i percorsi dei temi. Per la configurazione PHP da verificare, seguire l'avviso ufficiale.
In sintesi
- Cosa
- Path traversal non autenticato nel core di WordPress: un file PHP leggibile al di fuori delle directory dei temi attivi può essere incluso da remoto.
- Componente
- La funzione get_page_template() in wp-includes/template.php.
- Gravità
- CVSS v4.0 9,2 secondo Safe Security; 8,1 su 10 secondo TechRadar. Le fonti riportano valori diversi.
- Versioni interessate
- Dalla 4.7 (dicembre 2016), secondo le fonti consultate. Verificare il ramo installato.
- Correzione
- WordPress 7.1.2, rilasciata il 22 settembre 2026. Backport 7.0.6 e 6.9.9, e fino alla 4.7.37 per i rami precedenti, secondo Drweb.
- Stato
- Tentativi di sfruttamento iniziati entro ore dalla divulgazione, secondo SecurityWeek. Un proof of concept pubblico è segnalato come destinato a test autorizzati.
- Azione
- Aggiornare WordPress al ramo corretto. Verificare il tema attivo, la configurazione PHP indicata nell'avviso ufficiale e i log per richieste anomale verso i percorsi dei temi.
Fonti: Safe Security, CVE-2026-87902 · Help Net Security, WordPress 7.1.2 · SecurityWeek