Falla crítica en WordPress permite ejecutar código sin autenticación y Patchstack reporta intentos de ataque

Pocas horas después de que WordPress publicara el parche, los primeros sondeos ya golpeaban sitios en busca de la falla. Patchstack, firma de seguridad para WordPress, registró las primeras solicitudes maliciosas el 22 de septiembre de 2026 a las 11:49 UTC, el mismo día en que salió la versión 7.1.2. Al día siguiente, el 23 de septiembre, el tráfico contra la vulnerabilidad se multiplicó por diez y pasó de reconocimiento a intentos de escribir archivos en disco.

La falla es CVE-2026-87902, descubierta y reportada por el investigador Robert Ressl. WordPress la calificó como crítica, con un puntaje de 9.2 sobre 10.

Qué es la falla

Es un path traversal sin autenticación en la resolución de plantillas de página del núcleo de WordPress. En palabras simples, un atacante sin credenciales puede engañar a la función get_page_template() para que incluya un archivo .php local elegido, fuera de los directorios del tema activo. Cuando el entorno del servidor y el tema cumplen ciertas condiciones, esa inclusión deriva en ejecución remota de código.

Según el aviso oficial de WordPress, para llegar a ejecutar código tienen que darse tres condiciones: que el tema activo, padre o hijo, tenga un directorio de nivel superior cuyo nombre empiece con page-, como page-templates; que exista en el servidor un archivo .php legible por la cuenta del servidor web; y que ese archivo sea alcanzable. El aviso cita como ejemplo pearcmd.php cuando la opción register_argc_argv de PHP está activada.

A quién afecta

El aviso GHSA-7hp8-65ch-5whp lista como afectadas las versiones de la 4.7.0 a la 7.1.1. Entre los temas que cumplen la condición del directorio page- figuran los clásicos Twenty Twelve y Twenty Fourteen, y según el aviso también terceros populares como Neve, Hestia y Sydney.

La imagen oficial de PHP para Docker está afectada, y la configuración predeterminada de cPanel lo está cuando se usa una versión de PHP anterior a la 8.5. Es decir, esas condiciones se cumplen de fábrica en entornos muy comunes. Las versiones anteriores a la 4.6 no reciben corrección.

Estado de explotación

Intentos reportados, según Patchstack. La firma observó primero sondeos que incluían archivos comunes del núcleo para identificar sitios vulnerables, y después solicitudes que apuntan a pearcmd.php para escribir archivos en disco. Algunos de esos archivos solo dejan una marca que señala al sitio como vulnerable; otros, según Patchstack, escriben una etiqueta corta que ejecuta un comando al ser accedida. Los archivos aparecen en /tmp y /var/tmp con nombres como wp-pear-rce-flag.php, poc87902.php, luci_<random>.php y zeta_<random>.php.

Patchstack advierte que ya circula una herramienta pública de escaneo, incluida una plantilla de Nuclei con el nombre nuclei-cve-2026-87902/1.0, lo que indica que el ataque dejó de estar en manos de pocos operadores. En el material, ni WordPress ni el catálogo KEV de vulnerabilidades explotadas de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos confirman la explotación.

Qué hacer

• Actualizar cuanto antes a WordPress 7.1.2 o al parche de la rama correspondiente. La corrección se portó hacia atrás hasta la 4.7.37, así que todas las ramas afectadas tienen una versión parcheada.
• Si no se puede actualizar de inmediato, desactivar register_argc_argv en PHP: no corrige la inclusión, pero rompe la cadena de pearcmd que lleva a la ejecución de código.
• Rechazar secuencias de traversal en el parámetro pagename, ya que un slug de página real nunca las contiene.
• Revisar los registros en busca de un parámetro pagename con %2e%2e o %252e%252e, y buscar archivos .php inesperados en /tmp y /var/tmp. Según Patchstack, su presencia significa que un intento de escritura tuvo éxito y que el servidor debe tratarse como comprometido.

Ficha técnica

• CVE: CVE-2026-87902
• CVSS: 9.2 (crítica) según WordPress; 8.1 según la NVD. Vector CVSS v4 de WordPress: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
• CWE: CWE-98 (control indebido del nombre de archivo en sentencias include o require en PHP)
• Versiones afectadas: 4.7.0 a 7.1.1
• Versiones corregidas: 7.1.2, 7.0.6, 6.9.9, 6.8.10 y backports hasta 4.7.37
• Aviso del fabricante: GHSA-7hp8-65ch-5whp, publicado el 22 de septiembre de 2026
• Fecha de alta en KEV: no figura en el material