威胁行为者在公开披露后的数小时内开始积极利用WordPress中的一个关键安全漏洞。
该漏洞是CVE-2026-87902（CVSS评分：9.2），可能允许未经身份验证的攻击者获得远程代码执行（RCE）。
“未经身份验证的攻击者可以使get_page_template()页面模板解析包含一个选定的可读本地.php文件，该文件位于活动主题目录之外，”WordPress在两天前发布的公告中表示。“如果满足服务器环境和活动主题的相关前提条件，这可能导致RCE。”
成功利用该漏洞依赖于满足两个前提条件 -
活动的子主题或父主题包含一个以page-开头的顶级目录（例如，page-templates）。
选定的本地.php目标文件存在于服务器上，并且可以被Web服务器帐户读取。（例如，pearcmd.php）。
在与The Hacker News分享的一份声明中，Previdian表示，它正在其蜜罐网络中看到针对CVE-2026-87902的利用尝试，这些恶意请求来自位于美国新泽西州的IP地址（104.194.9[.]227）。
这些请求包括本地PHP文件/usr/local/lib/php/pearcmd.php，写入文件到/tmp/，然后包含托管在GitHub上的PHP上传脚本（“raw.githubusercontent[.]com/MrG3P5/web-shell/refs/heads/main/uploader.php”）。
“尽管这无疑是一个严重的漏洞，但某些前提条件使得利用的可能性较小，”Previdian的创始人兼首席执行官Ryan Dewhurst表示。“由于WordPress默认启用自动更新，我们可能会看到大规模的利用尝试，但实际的妥协相对较少。”
Previdian的遥测数据显示，自2026年9月23日起共记录了68次利用尝试。一些努力也来自于一个位于印度尼西亚的IP地址。
WordPress安全公司Patchstack也警告说，恶意请求已从对无害核心文件的侦察扩展到主动利用，攻击者包括“pearcmd.php”并利用它将PHP文件写入磁盘，这与Previdian的发现相符。
第一次利用尝试记录在2026年9月22日11:49 UTC，正是该漏洞发布补丁的同一天。此外，该活动涉及在“/tmp”和“/var/tmp”等位置进行攻击者控制的PHP内容的任意文件写入。观察到的文件名包括 -
wp-pear-rce-flag.php
poc87902.php
luci_<random>.php
zeta_<random>.php
与恶意攻击相关的一些IP地址 -
43.250.53[.]42
180.251.159[.]243
195.178.110[.]247
107.189.14[.]87
45.61.184[.]170
92.246.130[.]76
鉴于活跃的利用，建议网站管理员尽快应用WordPress版本7.1.2（或7.0.6、6.9.9、6.8.10），并审计恶意活动的迹象。
觉得这篇文章有趣吗？请在Google News、Twitter和LinkedIn上关注我们，阅读更多我们发布的独家内容。