CVE-2026-87902 : WordPress RCE critique exploité CVSS 9.2

Les faits

Le 24 septembre 2026, l'équipe de sécurité de WordPress a publié la version 6.8.2 pour corriger CVE-2026-87902, une faille critique affectant le mécanisme de résolution des templates de page dans le cœur du CMS. La vulnérabilité, classée CVSS 4.0 à 9.2 par WordPress et 8.1 par CISA (score CVSS 3.1), réside dans la fonction get_page_template() et permet à un attaquant non authentifié de traverser l'arborescence de fichiers pour inclure des fichiers PHP situés en dehors du répertoire du thème actif.

Selon les analyses publiées par des chercheurs de Hadrian, SOCPrime et CrowdSec, la chaîne d'exploitation repose sur la manipulation des paramètres internes de WordPress pour forcer l'inclusion d'un fichier existant sur le serveur — en particulier pearcmd.php, une bibliothèque PHP présente par défaut sur les distributions Linux utilisant le gestionnaire de paquets PEAR. Lorsque les conditions serveur sont réunies (présence de pearcmd.php accessible, thème compatible), l'attaquant peut déclencher l'écriture d'un fichier PHP arbitraire, transformant la Local File Inclusion en Remote Code Execution à part entière.

Les premières tentatives d'exploitation ont été détectées par les honeypots de CrowdSec et SOCFortress dans les heures suivant la publication du patch, le 24 septembre au soir. Dès le 25 septembre, le volume de trafic malveillant ciblant cette CVE avait décuplé par rapport au jour J. Au 28 septembre, CrowdSec comptabilisait plus de 30 000 adresses IP uniques ayant scanné ou tenté d'exploiter la vulnérabilité, provenant principalement d'Asie du Sud-Est, de Russie et de réseaux de proxies résidentiels. Le rythme d'exploitation observé dépasse en vitesse d'adoption la plupart des vulnérabilités WordPress core des deux dernières années.

La nature de la faille est double. Dans sa forme basique, CVE-2026-87902 est une LFI permettant la lecture de fichiers sensibles présents sur le serveur : clés d'API, credentials de bases de données, fichiers wp-config.php contenant les identifiants MySQL et les clés secrètes WordPress. Dans sa forme avancée, combinée avec la présence de pearcmd.php ou d'autres fichiers PHP exécutables côté serveur, elle devient une RCE complète permettant l'installation de webshells, la prise de contrôle du serveur, l'exfiltration de données et le déplacement latéral vers d'autres systèmes du réseau interne.

WordPress alimente selon W3Techs environ 43,5 % de l'ensemble des sites web en septembre 2026, soit potentiellement plus de 500 millions d'installations. Même si la chaîne RCE complète nécessite des conditions serveur spécifiques, la LFI seule représente un risque considérable pour tout site exposant des données sensibles dans ses fichiers de configuration. Un attaquant capable de lire le fichier wp-config.php obtient immédiatement les credentials de la base de données, les clés d'authentification et les salts cryptographiques de l'installation WordPress.

Les chercheurs de SOCRadar ont documenté deux vecteurs d'attaque distincts. Le premier est opportuniste : des botnets massifs automatisés scannent tous les WordPress accessibles en envoyant des requêtes GET spécifiques pour détecter les instances vulnérables. Le second est ciblé : des acteurs de menace plus sophistiqués identifient au préalable des sites e-commerce, des portails de santé ou des plateformes gouvernementales propulsés par WordPress avant de lancer une exploitation calculée visant à exfiltrer des données à haute valeur commerciale ou stratégique.

La CISA a intégré CVE-2026-87902 à son catalogue KEV (Known Exploited Vulnerabilities) le 26 septembre 2026, imposant aux agences fédérales américaines un délai de remédiation expirant le 29 septembre 2026. En France, le CERT-FR a intégré la vulnérabilité dans son bulletin de la semaine du 22 au 28 septembre. Les hébergements managés (WP Engine, Kinsta) ont déployé des règles WAF bloquant les patterns d'exploitation dans les 24 heures suivant la divulgation. Les installations auto-hébergées restent le segment le plus exposé, en particulier les PME et les associations sans processus formel de gestion des mises à jour.

Un Proof of Concept fonctionnel a été publié sur GitHub le 25 septembre par le chercheur anonyme anoymask, confirmant la faisabilité de l'exploitation dans des configurations courantes. Ce PoC a été retiré par GitHub sous pression des équipes de sécurité, mais avait déjà été largement archivé et redistribué sur des forums cybercriminels avant sa suppression. La présence d'un PoC public accessible réduit considérablement la barrière technique à l'exploitation et explique la montée en charge rapide des tentatives observées.

Impact et exposition

Sont potentiellement exposés tous les sites sous WordPress 6.x jusqu'à la version 6.8.1 incluse. La condition RCE complète dépend de la présence du fichier pearcmd.php sur le serveur — courant sur les distributions Debian/Ubuntu avec PHP installé via apt — et de l'absence de restrictions open_basedir dans la configuration PHP. Les hébergements mutualisés standard sont souvent concernés car ils n'appliquent pas de restrictions open_basedir par défaut. Les environnements Docker ou conteneurisés sont généralement moins exposés à la condition RCE si l'image PHP de base ne contient pas PEAR, mais restent vulnérables à la LFI.

Recommandations

• Immédiat : mettre à jour WordPress vers la version 6.8.2 ou supérieure sans délai. L'opération prend moins de 5 minutes depuis le tableau de bord.
• Vérifier la présence de pearcmd.php sur le serveur et restreindre son accès via open_basedir ou le supprimer s'il n'est pas utilisé.
• Analyser les logs d'accès du serveur web pour les 7 derniers jours en cherchant des requêtes GET anormales contenant des paramètres template, page_template ou des séquences de traversée de répertoires.
• Auditer les répertoires de thème et /uploads pour détecter des fichiers PHP récemment ajoutés (webshells potentiels).
• Si la mise à jour immédiate est impossible : déployer une règle WAF bloquant les patterns d'inclusion de fichiers locaux sur les endpoints WordPress.