Уязвимость CVE-2026-87902 в WordPress: риск зависит от файлов на сервере, а не только от версии CMS

Самое неприятное в этой уязвимости в том, что для атаки почти ничего не нужно. Посетитель сайта без учётной записи, без входа и без каких-либо прав может выполнить PHP-код на сервере. Речь идёт о CVE-2026-87902 в системе управления контентом WordPress. Механизм связан с манипуляцией шаблонами страниц. По имеющимся данным, злоумышленники уже используют её, чтобы захватывать сайты. Исправление выпущено.

Есть условие, которое легко пропустить. Атака работает только тогда, когда на сервере лежит файл pearcmd.php. По имеющимся данным, он входит в официальный docker-образ WordPress и в конфигурацию cPanel по умолчанию. Значит, безопасность сайта зависит не только от версии CMS, но и от того, что стоит рядом с ней на сервере. Можно не ставить никаких сторонних компонентов и всё равно оказаться в зоне риска, если окружение развёрнуто по умолчанию.

Привычная проверка сводится к вопросу «какая у нас версия». Здесь этого мало. Нужно посмотреть, есть ли на сервере pearcmd.php, и понять, откуда он там взялся. Если файл пришёл вместе с docker-образом или панелью, его могли не заметить, потому что никто целенаправленно о нём не думал.

Уязвимость затрагивает и форк ClassicPress, то есть проблема не привязана к одному проекту. Производные системы на том же коде наследуют и механизм. Насколько широко распространён ClassicPress и сколько сайтов на нём затронуто, из источников не видно, поэтому о масштабе говорить не стоит. Сам факт совпадения, однако, показывает, что риск касается не только бренда WordPress.

С исправлениями сложнее. Патч выпущен для 25 веток, от 7.1.2 до 4.7.37. Такой диапазон выглядит непоследовательно: номера идут по разным схемам, и из источников неясно, какие ветки уязвимы, а какие защищены. Стоит сверить свою версию с официальным списком, а не полагаться на пересказ. Ошибка здесь дорога: можно решить, что обновление не нужно, потому что версия кажется достаточно новой.

Практический вывод приземлённый. Проверьте, есть ли на сервере pearcmd.php, и примените исправление для своей ветки WordPress. Если файл не нужен для работы сайта, его удаление снижает риск. Но источники не подтверждают, что удаление полностью закрывает уязвимость, поэтому обновление остаётся обязательным шагом. Удалять файл стоит как дополнительную меру, а не вместо патча.

Не стоит превращать эту историю в утверждение, что все сайты WordPress уязвимы. Источники описывают условия, а не массовую картину. Уязвимы конкретные установки с конкретными файлами и версиями. Но если эти условия выполняются, речь идёт о прямом доступе к серверу без входа в систему.