tc4dy/cve-2026-87902-toolkitWordPress CVE-2026-87902 LFI-zu-RCE-Toolkit mit einer weaponisierten Exploit-Kette (PEAR RCE, Webshell, Admin-Erstellung, Loot) sowie einer nicht-intrusiven SafeChecker-Version und einem Risiko-Auditor.
NUR ZUR ETHISCHEN VERWENDUNG – AUTORISIERTE SICHERHEITSTESTS
Dieses Repository stellt Tools ausschließlich für autorisierte Sicherheitsexperten, Blue Teams und Penetrationstester bereit.
Unbefugter Zugriff auf Computersysteme ist illegal gemäß CFAA (USA), Computer Misuse Act (UK), TCK 243/244 (Türkei) und ähnlichen Gesetzen weltweit.
CVE‑2026‑87902 ist eine kritische nicht authentifizierte Path-Traversal- und Local-File-Inclusion-Schwachstelle (LFI) im WordPress Core (Versionen 4.7.0 bis 7.1.1), die es einem nicht authentifizierten Angreifer ermöglicht, beliebige lokale .php-Dateien über den pagename-Query-Parameter einzubinden und unter bestimmten Serverbedingungen durch Verkettung der PEAR-Datei pearcmd.php zu Remote Code Execution (RCE) zu eskalieren. CVSS-Score: 9.2 (Kritisch). Offengelegt von Robert Ressl über das HackerOne-Programm von WordPress im Juli 2026. Gepatcht in 7.1.2 am 22. September 2026, mit Backports bis hinunter zu 4.7 .
Die Schwachstelle betrifft jede WordPress-Version seit 2016 – ein Jahrzehnt von Versionen, die die Code-Review ohne Entdeckung passiert haben. Die Ursache ist ein einzelner fehlender Validierungsaufruf in einem der am häufigsten durchlaufenen Codepfade des CMS .
Unbereinigte Template-Auflösung – get_page_template() in wp-includes/template.php erstellt Template-Kandidaten aus der pagename-Query-Variable. Ein benachbarter Codepfad in derselben Funktion wendet validate_file() an, um ../-Sequenzen zu blockieren, aber der $pagename-Zweig ruft sie nicht auf. Jegliches Traversal in pagename passiert ungeprüft .
Doppelt kodierte Traversal-Umgehung – WordPress wendet sanitize_title_for_query() auf pagename an, was literale Punkte (.) durch Bindestriche ersetzt, um Traversal zu verhindern. Die Funktion arbeitet jedoch auf bereits dekodierter Eingabe und dekodiert nicht rekursiv. Ein Angreifer sendet %252e%252e%252f; der Webserver dekodiert es einmal zu %2e%2e%2f; der Sanitizer sieht keine literalen Punkte und lässt es durch; dann ruft get_page_template() innerhalb der Funktion erneut urldecode() auf, was ../ erzeugt .
Theme-Verzeichnis-Voraussetzung – Das aktive Theme muss ein Verzeichnis auf oberster Ebene enthalten, dessen Name mit page- beginnt (z. B. page-templates/). Der konstruierte Dateiname page-{pagename}.php entkommt dann über das Traversal aus dem Theme-Root. Ältere Standard-Themes (Twenty Twelve, Twenty Fourteen) und beliebte Drittanbieter-Themes (Neve, Hestia, Sydney) liefern dieses Verzeichnis mit. Child-Themes, die von solchen Parents erben, erfüllen die Voraussetzung ebenfalls .
LFI-Sink in locate_template() – Der Kandidatenpfad wird an locate_template() übergeben, das die Theme-Verzeichnisse durchsucht. Da das Traversal zu einer Datei außerhalb dieser Verzeichnisse führt und die Funktion nur file_exists() prüft, wird jede lesbare .php-Datei mit vollen Webserver-Privilegien eingebunden. Dies macht die LFI bedingungslos auf jeder ungepatchten Seite, die die Theme-Voraussetzung erfüllt – einschließlich wp-config.php mit seinen Datenbank-Zugangsdaten und Authentifizierungs-Salts .
PEAR pearcmd.php RCE-Eskalation – PEAR wird mit vielen PHP-Installationen ausgeliefert. Sein pearcmd.php ist normalerweise nur für die CLI gedacht, aber wenn register_argc_argv=On, füllt PHP $_SERVER['argv'] aus dem URL-Query-String. Der Angreifer bindet pearcmd.php über die LFI ein, übergibt config-create als Argument und liefert PHP-Code plus einen Ausgabepfad (/tmp/shell.php). PEAR schreibt den Code des Angreifers auf die Festplatte; ein zweites Include führt ihn aus .
Zweiter Ausnutzungsweg – Eine Anfrage, die name (Front-Page-Slug), page_id (Posts-Page-ID), preview=true und eine pagename-Payload kombiniert, lenkt WP_Query in seinen post_name-Zweig, der pagename niemals durch sanitize_title_for_query() umschreibt. Dies erlaubt literale Punkte im Traversal. Erfordert ein Theme ohne single.php .
Server-Konfigurationsanforderungen – RCE hängt von zwei Bedingungen ab, die in realen Deployments häufig vorkommen: pearcmd.php vorhanden/lesbar (häufig bei Shared Hosting, cPanel, offiziellen PHP-Docker-Images) und register_argc_argv=On (Standard in PHP unter 8.5). PHP 8.5 änderte den Standard auf Off. Auf einem modernen PHP 8.5+-Server ohne PEAR stoppt die Ausnutzung bei LFI .
Der Patch – WordPress 7.1.2 fügt zwei Verteidigungsebenen hinzu: (a) den fehlenden validate_file()-Aufruf im pagename-Zweig und (b) eine neue Funktion _wp_is_template_path_allowed(), die von locate_template() für jedes aufgelöste Template aufgerufen wird. Die Funktion lehnt Pfade mit .. ab, löst dann den realen Pfad über realpath() auf und verifiziert, dass er innerhalb eines der erlaubten Theme-Verzeichnisse liegt. Diese Defense-in-Depth schließt den Sink, nicht nur einen Weg dorthin .
Aktive Ausnutzung in freier Wildbahn – Erste bösartige Anfragen wurden 5 Stunden nach Veröffentlichung des Patches beobachtet (17:44 UTC, 22. September 2026). Der Datenverkehr verzehnfachte sich am nächsten Tag. Drei Phasen wurden beobachtet: config-show-Aufklärung → Core-Datei-Erkennung → config-create-Waffenisierung. Payload-Dateinamen umfassten wp-pear-rce-flag.php, poc87902.php, luci_*.php, zeta_*.php, geschrieben nach /tmp und /var/tmp. Angreifer-IPs: 169.58.48.193, 169.58.48.195, 2001:df1:e8c0::106b .
Auswirkung – Codeausführung mit Webserver-Privilegien. Vollständige Website-Übernahme, Diebstahl von wp-config.php-Zugangsdaten, Datenexfiltration, Webshell-Installation, Erstellung von Admin-Benutzern, Reverse Shell, Supply-Chain-Angriffe über modifizierte Plugins/Themes und laterale Bewegung in verbundene Dienste. Der CVSS-Score von 9.2 spiegelt netzwerkausnutzbare, nicht authentifizierte Auswirkungen mit hoher Vertraulichkeit/Integrität/Verfügbarkeit wider. Die hohe Angriffskomplexität spiegelt die Theme- und Server-Voraussetzungen wider, aber auf typischem Shared Hosting sind diese Bedingungen häufig erfüllt.
