CVE-2026-87902 هي ثغرة حرجة في اجتياز المسار في حل قالب الصفحة لـ WordPress، مع درجة CVSS تبلغ 9.2. يمكن للمهاجمين غير المصدقين استغلال هذه الثغرة لتنفيذ التعليمات البرمجية عن بُعد في ظل ظروف معينة. يمكن تفعيل الثغرة إذا كان الدليل العلوي للموضوع الفرعي أو الرئيسي النشط يبدأ بـ 'page-' وإذا كان خادم الويب يمكنه قراءة ملف .php محلي مختار.
تؤثر الثغرة على إصدارات WordPress من 4.7.0 إلى 7.1.1 وتم معالجتها في الإصدار 7.1.2، الذي صدر في 22 سبتمبر 2026. على الرغم من إصدار تحديث أمني، بدأت محاولات الاستغلال في غضون ساعات من الكشف العلني عن الثغرة. كانت الأنشطة الأولية للاستغلال في الأساس استكشافية ولكنها تصاعدت إلى اختراقات فعلية بحلول 23 سبتمبر 2026.
المهاجمون الذين يستهدفون CVE-2026-87902 يتحققون أولاً من ضعف الخادم المستهدف، ويفحصون تضمين pearcmd.php الخاص بـ PEAR، ثم يستغلون pearcmd.php لتحقيق تنفيذ التعليمات البرمجية عن بُعد. تشمل المواضيع التي قد تتأثر بهذه الثغرة Twenty Twelve وTwenty Fourteen وNeve وHestia وSydney.
تم الإبلاغ عن أن حركة المرور الأولية للاستغلال كانت أكثر من عشرة أضعاف الحجم الذي شوهد في المساء الأول بعد الكشف. بالإضافة إلى ذلك، تؤثر الثغرة أيضاً على فرع ClassicPress من WordPress، ولكن لم يتم توفير أي تحديث أمني له.