تیم توسعه WordPress یک نقص امنیتی بحرانی در هسته (Core) نرم‌افزار خود شناسایی و برطرف کرده است. این آسیب‌پذیری به مهاجمان اجازه می‌دهد بدون نیاز به داشتن حساب کاربری، وب‌سایت را مجبور به بارگذاری یک فایل PHP از خارج از پوشه‌های قالب (Theme) کنند.
جزئیات فنی و شدت تهدید
این نقص امنیتی با شناسه CVE-2026-87902 ثبت شده و امتیاز 9.2 در سیستم CVSS را دریافت کرده است. طبق گزارش‌ها، این آسیب‌پذیری در نسخه‌های 4.7.0 تا 7.1.1 فعال است. نکته قابل توجه این است که حتی سایت‌هایی که به‌روزرسانی‌های امنیتی ۱۷ سپتامبر را دریافت کرده‌اند، همچنان در معرض این تهدید هستند و باید سریعاً به نسخه 7.1.2 ارتقا یابند.
مکانیسم حمله و شرایط بهره‌برداری
این مشکل در نحوه انتخاب فایل قالب (Template File) برای صفحات رخ می‌دهد. در نسخه‌های آسیب‌پذیر، وردپرس مقداری را که از آدرس وب (URL) گرفته می‌شود، از فیلترهای بررسی Directory Traversal (مانند ../) عبور نمی‌دهد. برای اینکه این نقص منجر به اجرای کد (Code Execution) شود، دو شرط باید برقرار باشد:
- قالب فعال باید دارای پوشه‌ای در سطح Root باشد که نام آن با page- شروع شود.
- سرور باید دارای فایلی باشد که در صورت بارگذاری، عملیاتی مفید برای مهاجم انجام دهد.
نقش تنظیمات PHP در تشدید آسیب‌پذیری
تحلیل‌های شرکت Patchstack نشان می‌دهد که فعال بودن تنظیم register_argc_argv در PHP می‌تواند مسیر تبدیل این نقص به یک حمله RCE کامل را هموار کند. این تنظیم در نسخه‌های قدیمی PHP به‌صورت پیش‌فرض فعال است، اما در PHP 8.5 غیرفعال شده است.
راهکار مقابله
در حال حاضر هیچ راهکار جایگزینی (Workaround) جز به‌روزرسانی وجود ندارد. مدیران سایت‌ها باید سریعاً از طریق داشبورد مدیریت یا به‌صورت دستی، هسته وردپرس خود را به آخرین نسخه منتشر شده ارتقا دهند. تا این لحظه گزارش دقیقی از بهره‌برداری فعال (Active Exploitation) یا انتشار Proof-of-Concept (PoC) عمومی منتشر نشده است.
