CVE-2026-87902 : WordPress Core RFI exploité KEV CISA CVSS 9.2

Les faits

CVE-2026-87902 est une vulnérabilité de type path traversal / remote file inclusion affectant le cœur de WordPress. Identifiée dans la fonction get_page_template() du moteur de résolution de templates de pages, elle permet à un attaquant non authentifié de forcer l'inclusion d'un fichier PHP local arbitraire situé en dehors des répertoires autorisés du thème actif. Selon NVD/NIST, le score CVSS v3.1 est de 9.2 (Critical), avec un vecteur d'attaque réseau, une complexité faible, aucun privilège requis et aucune interaction utilisateur nécessaire.

La faille réside dans l'absence de validation rigoureuse du paramètre de template transmis lors de l'affichage d'une page WordPress. La fonction get_page_template() utilise ce paramètre pour localiser et inclure dynamiquement un fichier de template PHP. En manipulant ce paramètre avec des séquences de traversée de chemin (de type ../../), un attaquant peut pointer vers n'importe quel fichier PHP lisible sur le système de fichiers, y compris des fichiers de configuration, des scripts d'upload précédemment déposés, ou des fichiers de session PHP — transformant ainsi une inclusion locale en exécution de code arbitraire à distance lorsque certaines conditions PHP et thème sont réunies.

WordPress a publié le correctif le 22 septembre 2026 dans la version 7.1.2, en rétroagissant le patch sur toutes les branches supportées jusqu'à WordPress 4.7. Les premières tentatives d'exploitation ont été détectées par Patchstack quelques heures seulement après la publication du correctif, émanant d'un cluster restreint d'adresses IP et visant initialement une phase de reconnaissance (énumération des installations non patchées). Dès le 23 septembre, les analyses de Kaspersky et de SecurityWeek ont confirmé une escalade vers des compromissions actives, avec dépôt de webshells et exécution de commandes arbitraires.

Le 25 septembre 2026, la CISA a officiellement intégré CVE-2026-87902 à son catalogue Known Exploited Vulnerabilities (KEV), imposant aux agences fédérales américaines de patcher avant le 28 septembre 2026. Cette inscription confirme que l'exploitation est avérée et généralisée dans la nature (in-the-wild). The Hacker News et SecurityWeek ont tous deux rapporté la rapidité sans précédent de la chaîne patch-to-exploit, en moins de 72 heures.

D'un point de vue technique, la CWE associée est CWE-22 (Path Traversal). L'exploitabilité dépend de conditions contextuelles : le serveur web doit permettre l'accès public aux pages WordPress concernées, et l'environnement PHP doit disposer de fichiers PHP locaux accessibles en lecture. Dans les configurations standard avec des thèmes actifs et des plugins d'upload, ces conditions sont très fréquemment réunies. Aucun proof-of-concept (PoC) public n'est officiellement référencé à ce stade, mais la vitesse d'exploitation observée suggère que des scripts automatisés circulent dans des forums clandestins.

La surface d'attaque est massive : WordPress représente plus de 40 % du web mondial, avec des centaines de millions d'installations actives. Les hébergeurs mutualisés proposant des installations WordPress en un clic sont particulièrement exposés, notamment ceux qui ne poussent pas automatiquement les mises à jour mineures de sécurité. La version 7.x ayant été publiée en juillet 2026, une portion significative des installations reste encore sur des branches 5.x ou 6.x, qui bénéficient néanmoins du backport correctif selon WordPress.

Les indicateurs techniques de compromission comprennent des requêtes HTTP anormales contenant des séquences %2F..%2F ou /../ dans les paramètres de template, des nouveaux fichiers PHP dans des répertoires d'upload (wp-content/uploads/), des entrées de journal Apache/Nginx avec des codes 200 sur des requêtes GET/POST vers wp-admin/admin-ajax.php ou wp-includes/ avec des paramètres inhabituels, et des processus PHP fils anormaux.

Cette vulnérabilité s'inscrit dans une tendance préoccupante de 2026 : les délais entre la publication d'un correctif et son exploitation active se réduisent drastiquement, passant de semaines à quelques heures. Les équipes de sécurité de Patchstack ont qualifié ce cas de « record personnel négatif » pour l'écosystème WordPress, soulignant la nécessité absolue de systèmes de mise à jour automatique activés sur toutes les installations.

Impact et exposition

Toutes les installations WordPress exécutant les versions 4.7.0 à 7.1.1 sont vulnérables, représentant une fraction très importante du parc mondial. Les conditions d'exploitation (accès réseau non authentifié, faible complexité) font de cette faille un vecteur d'attaque de premier ordre pour les acteurs malveillants, notamment les opérateurs de botnets et les groupes ransomware ciblant les hébergements mutualisés. L'inscription au KEV CISA confirme une exploitation active avérée.

Les hébergeurs web gérant des parcs massifs d'installations WordPress (infogéreurs, agences web, revendeurs d'hébergement) sont en première ligne. Un attaquant ayant compromis avec succès un site peut en faire une tête de pont vers d'autres ressources réseau si le serveur est mutualisé, ou déployer un défacement, un vol de données clients/mots de passe, ou une redirection vers du phishing.

L'exploitation confirmée active au 23 septembre 2026, moins de 24 heures après la publication du patch, indique que des outils automatisés sont déjà déployés. Les IP d'origine initiales identifiées par Patchstack correspondent à des serveurs VPS en Asie du Sud-Est et en Europe de l'Est, habituellement associés à des opérations de masse à faible sophistication — mais suffisantes pour comprometre des milliers d'installations en quelques heures.

La criticité est amplifiée par le fait que l'exploitation ne requiert aucun compte WordPress, aucune session active et aucune connaissance préalable de la configuration cible. Une simple requête HTTP suffisamment construite peut déclencher l'inclusion de fichier.

Recommandations immédiates

• Mettre à jour WordPress vers la version 7.1.2 immédiatement — ou vers la dernière version corrective de la branche installée (4.7 à 7.x). Advisory WordPress Security Release 7.1.2 (sans lien externe).
• Activer les mises à jour automatiques pour les versions mineures de WordPress si ce n'est pas déjà le cas (define('WP_AUTO_UPDATE_CORE', true); dans wp-config.php).
• Vérifier les journaux de serveur web pour des requêtes contenant %2F..%2F, /../ ou des paramètres de template inhabituels depuis le 22 septembre 2026.
• Auditer le contenu de wp-content/uploads/ et des répertoires temporaires pour identifier des fichiers PHP suspects.
• Déployer ou activer un WAF (Web Application Firewall) avec des règles de protection contre le path traversal.
• Pour les hébergeurs mutualisés : envoyer une notification de mise à jour urgente à tous les clients WordPress dès que possible.