WordPress в KEV: что делать с CVE-2026-87902

CVE-2026-87902 — уязвимость в ядре WordPress (remote / local file inclusion через разрешение page template). Без логина злоумышленник при определённых условиях может заставить Core подключить выбранный `.php`-файл вне каталогов активной темы.

Если сходятся условия сервера и темы, это может привести к выполнению кода (RCE). Не каждый сайт с уязвимой версией автоматически «уже взломан» — но приём без авторизации и попадание в KEV означают: обновлять нужно сейчас, а не «в следующем спринте».

Исправление вышло 22 сентября 2026 в WordPress 7.1.2 (и бэкпортах веток до 4.7). 25 сентября CISA добавила CVE в Known Exploited Vulnerabilities — федеральный срок был три дня; для частного бизнеса это сигнал приоритета, не «можно подождать».

Подробнее, почему KEV важнее «красивого» CVSS: KEV и EPSS простыми словами. Как читать статусы находок: касается ли CVE вас.

Любой сайт на WordPress Core до безопасной сборки своей ветки: корпоративные витрины, лендинги, магазины на WooCommerce, мультисайт агентства, «временные» копии на поддоменах.

Плагины и темы сами по себе эту CVE не закрывают: нужен апдейт Core (или бэкпорт ветки). Обновление Ninja Forms / WooCommerce — отдельно; это другие истории.

Рядом по смыслу: если на том же хосте старый PHP — смотрите ещё PHP2Shell. Забытые стенды: новые поддомены.

Официально: обновите до 7.1.2 или новее в ветке 7.1. Для более старых веток — соответствующий security-бэкпорт (например 7.0.6, 6.9.9 и далее до 4.7.37 по advisories WordPress).

• Ветка 7.1 → минимум 7.1.2
• Ветка 7.0 → минимум 7.0.6
• Более старые ветки → бэкпорт из списка WordPress Security (до 4.7.37)
• Только «самая свежая» ветка официально в активной поддержке — долгий застой на 5.x/6.x без бэкпорта рискованнее обычного

Автообновления WordPress часто подхватывают security-релизы сами — но проверьте версию вручную: на части хостингов автоапдейт выключен или падает на лимитах.

1. В админке: Консоль → Обновления → обновите WordPress до безопасной сборки. Сделайте бэкап до клика, если бэкапов нет у хостера.

2. Если кнопки нет — панель хостинга или тикет: «нужен WordPress ≥ 7.1.2 (или бэкпорт ветки) из‑за CVE-2026-87902 / KEV».

3. На managed-тарифе спросите явно: какая версия Core сейчас и попал ли патч на ваш инстанс.

4. После обновления откройте сайт в инкогнито и убедитесь, что версия в кабинете совпадает с ожидаемой.

Обновите Core на каждом инстансе (wp-cli `core update` / образ с пропатченным WordPress). Не полагайтесь только на «один главный» сайт.

Мультисайт и white-label клиенты: пройдитесь по списку доменов. Staging и `dev.` часто забывают — их тоже нужно обновить или снять с интернета.

После патча: пересмотрите логи на странные `pagename` / `page_id` в запросах около дат раскрытия; проверьте неожиданных администраторов и mu-plugins.

PoC из интернета на прод не гоняйте — так вы сами создаёте риск. Для внешней сверки версии: Радар.

Вопрос не «есть ли CVE в мире», а «торчит ли у нас WordPress и видна ли уязвимая версия».

• Добавьте корневой домен в signalfort и подтвердите DNS
• Дождитесь обнаружения хостов и сверки стека
• Если WordPress/версия видны снаружи и совпали — появится находка (сначала как совпадение)
• «Подтверждено» — только после безопасной проверки на платном плане; это не равно «нас уже взломали»

Старт: бесплатная проверка. Рядом: проверка сайта снаружи.

• Не считать, что «обновили плагины — ядро тоже закрыто»
• Не оставлять старые стенды на той же уязвимой ветке
• Не запускать публичные эксплойты на боевом сайте
• Не путать KEV («уже используют в атаках») с подтверждённым инцидентом у вас

Убедитесь, что в админке и снаружи (если версия светится) видна безопасная сборка.

Просмотрите пользователей с ролью администратора, список плагинов must-use, необычные файлы в `wp-content`.

Если есть подозрение на компрометацию — изолируйте хост и идите по своему IR-процессу. signalfort помогает с экспозицией и совпадениями, не заменяет разбор на сервере.