CVE-2026-87902: Zdalne wykonanie kodu przez nieautoryzowane wczytanie pliku PHP w funkcji get_page_template()

Co wiadomo

Nieautoryzowany atakujący może wykorzystać funkcję get_page_template() do wczytania wybranego, czytelnego pliku PHP spoza katalogów aktywnego motywu. Przy spełnieniu określonych warunków serwera i motywu, luka ta może prowadzić do zdalnego wykonania kodu (RCE).

Wpływ biznesowy

Luka o wysokim poziomie zagrożenia (CVSS 8.1) umożliwia atakującemu zdalne wykonanie kodu na serwerze bez uwierzytelnienia, co może skutkować przejęciem kontroli nad infrastrukturą webową. W efekcie może dojść do wycieku danych, zakłócenia działania usług lub dalszej eskalacji ataku w środowisku IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji lub poprawek u dostawcy oprogramowania oraz ograniczenie ekspozycji serwera na nieautoryzowany dostęp. Warto przeanalizować logi pod kątem podejrzanych odwołań do funkcji get_page_template() oraz zweryfikować konfigurację aktywnego motywu i serwera. W przypadku braku oficjalnych łatek, należy rozważyć tymczasowe ograniczenia dostępu i monitorowanie środowiska. DataHouse wspiera w weryfikacji wersji oprogramowania oraz w zarządzaniu aktualizacjami i monitoringu bezpieczeństwa.

Źródła

• NVD
• CISA KEV
• Reference
• Reference
• Reference