CVE-2026-87902

Traduzido automaticamente do inglês.

O WordPress Core contém uma vulnerabilidade de inclusão remota de arquivos que poderia permitir que um atacante não autenticado faça a resolução de templates de página incluir um arquivo `.php` local legível escolhido fora dos diretórios de temas ativos, levando à execução remota de código.

Explorada ativamente

Fabricante

WordPress, Core

Prazo da CISA para agências federais dos EUA

28 de set. de 2026

Ação exigida

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable.