Hackers start exploiting critical WordPress flaw for code execution

Exploitation active de la faille critique dans WordPress

Une faille de sécurité critique au sein de WordPress est actuellement exploitée par des attaquants pour exécuter des commandes à distance (RCE). Identifiée quelques heures seulement après la publication du correctif, l’activité malveillante est passée d’une simple reconnaissance à des tentatives d’injection de charges utiles (payloads) permettant d’écrire des fichiers exécutables sur le serveur.

Points clés :

• Vulnérabilité : Faille de traversée de chemin (path traversal) permettant une exécution de code à distance (RCE) non authentifiée.
• Sévérité : Score critique de 9.2/10.
• Conditions d’exploitation : Nécessite une configuration spécifique (thème avec répertoire commençant par page-, et présence de fichiers comme pearcmd.php sur le serveur, notamment dans les environnements Docker officiels ou cPanel avec PHP < 8.5).
• Activité : Les attaquants ciblent désormais activement les sites pour écrire des web shells (wp-pear-rce-flag.php, poc87902.php, etc.) dans les répertoires temporaires (/tmp ou /var/tmp).

Vulnérabilité identifiée :

• CVE-2026-87902

Recommandations :

• Mise à jour immédiate : Appliquer la version WordPress 7.1.2 (ou ultérieure) sans délai. Les correctifs ont été rétroportés jusqu’à la version 4.7.
• Audit des logs : Analyser les journaux du serveur à la recherche de requêtes suspectes utilisant des séquences de traversée de chemin encodées.
• Blocage IP : Surveiller et bloquer les adresses IP sources identifiées comme malveillantes : 169.58.48.193, 169.58.48.195 et 2001:df1:e8c0::106b.

Source