CVE-2026-87902

Người tấn công không cần xác thực có thể khiến hàm `get_page_template()` giải quyết template trang bao gồm một tệp `.php` đọc được từ xa nằm ngoài các thư mục chủ hiện hành. Nếu cả điều kiện trước của máy chủ và chủ đề hiện hành đều được đáp ứng, điều này có thể dẫn đến RCE (Remote Code Execution).

CNA cấp mã

hackerone

Ngày công bố

22/09/2026

Cập nhật

26/09/2026

CVSS (NVD)

8.1 · HIGH

Loại lỗi (CWE)

CWE-98

EPSS (FIRST)

95.77% khả năng bị khai thác trong 30 ngày

CISA KEV

WordPress Core — Vulnerability WordPress Core Bị Truy Xuất File Remotely. Đưa vào 2026-09-25, hạn khắc phục 2026-09-28. Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk và CISA’s “Forensics Triage Requirements”. Theo hướng dẫn BOD 26-04 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không khả dụng. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn cập nhật vá của BOD 26-04.