CVE-2026-87902-Toolkit

Kit de herramientas LFI-to-RCE para WordPress CVE-2026-87902 con una cadena de explotación weaponizada (PEAR RCE, webshell, creación de admin, loot) y una versión SafeChecker no intrusiva y auditor de riesgos.

CVE‑2026‑87902 es una vulnerabilidad crítica de path traversal y local file inclusion (LFI) no autenticada en WordPress Core (versiones 4.7.0 a 7.1.1) que permite a un atacante no autenticado incluir archivos .php locales arbitrarios a través del parámetro de consulta pagename, y bajo condiciones específicas del servidor escalar a remote code execution (RCE) encadenando el archivo PEAR pearcmd.php. Puntuación CVSS: 9.2 (Crítica). Divulgada por Robert Ressl a través del programa HackerOne de WordPress en julio de 2026. Parcheada en 7.1.2 el 22 de septiembre de 2026, con backports hasta 4.7 .

El fallo afecta a todas las versiones de WordPress desde 2016 — una década de versiones que pasaron la revisión de código sin ser detectadas. La causa raíz es una única llamada de validación faltante en una de las rutas de código más transitadas del CMS .

Cómo funciona

1. Resolución de plantilla sin sanitizar – get_page_template() en wp-includes/template.php construye candidatos de plantilla a partir de la variable de consulta pagename. Una ruta de código vecina en la misma función aplica validate_file() para bloquear secuencias ../, pero la rama $pagename no la llama. Cualquier traversal en pagename pasa sin ser verificado .

2. Bypass de traversal con doble codificación – WordPress aplica sanitize_title_for_query() a pagename, que reemplaza los puntos literales (.) con guiones para prevenir traversal. Pero la función opera sobre entrada ya decodificada y no decodifica recursivamente. Un atacante envía %252e%252e%252f; el servidor web lo decodifica una vez a %2e%2e%2f; el sanitizador no ve puntos literales y lo deja pasar; luego get_page_template() llama a urldecode() de nuevo dentro de la función, produciendo ../ .

3. Precondición del directorio del tema – El tema activo debe contener un directorio de nivel superior cuyo nombre comience con page- (p. ej. page-templates/). El nombre de archivo construido page-{pagename}.php entonces escapa la raíz del tema mediante el traversal. Los temas predeterminados más antiguos (Twenty Twelve, Twenty Fourteen) y temas populares de terceros (Neve, Hestia, Sydney) incluyen este directorio. Los temas hijos que heredan de dichos padres también cumplen la precondición .

4. Sumidero LFI en locate_template() – La ruta candidata se pasa a locate_template(), que busca en los directorios del tema. Debido a que el traversal resuelve a un archivo fuera de esos directorios, y la función solo verifica file_exists(), cualquier archivo .php legible se incluye con privilegios completos del servidor web. Esto hace que el LFI sea incondicional en cualquier sitio sin parchear que cumpla la precondición del tema — incluyendo wp-config.php con sus credenciales de base de datos y sales de autenticación .

5. Escalada RCE mediante PEAR pearcmd.php – PEAR se distribuye con muchas instalaciones de PHP. Su pearcmd.php normalmente es solo CLI, pero cuando register_argc_argv=On, PHP rellena $_SERVER['argv'] desde la cadena de consulta de la URL. El atacante incluye pearcmd.php mediante el LFI, pasa config-create como argumento y proporciona código PHP más una ruta de salida (/tmp/shell.php). PEAR escribe el código del atacante en disco; una segunda inclusión lo ejecuta .

6. Segunda ruta de explotación – Una petición que combina name (slug de la página de inicio), page_id (ID de la página de entradas), preview=true y un payload pagename desvía WP_Query hacia su rama post_name, que nunca reescribe pagename a través de sanitize_title_for_query(). Esto permite puntos literales en el traversal. Requiere un tema sin single.php .

7. Requisitos de configuración del servidor – El RCE depende de dos condiciones comunes en despliegues reales: pearcmd.php presente/legible (frecuente en hosting compartido, cPanel, imágenes oficiales de PHP Docker), y register_argc_argv=On (predeterminado en PHP inferior a 8.5). PHP 8.5 cambió el valor predeterminado a Off. En un servidor moderno PHP 8.5+ sin PEAR, la explotación se detiene en el LFI .

8. El parche – WordPress 7.1.2 añade dos capas de defensa: (a) la llamada faltante a validate_file() en la rama pagename, y (b) una nueva función _wp_is_template_path_allowed() llamada por locate_template() para cada plantilla resuelta. La función rechaza rutas que contienen .., luego resuelve la ruta real mediante realpath() y verifica que se encuentre dentro de uno de los directorios de temas permitidos. Esta defensa en profundidad cierra el sumidero, no solo una ruta hacia él .

9. Explotación activa en el mundo real – Primeras peticiones maliciosas observadas 5 horas después de la publicación del parche (17:44 UTC, 22 de septiembre de 2026). El tráfico se multiplicó por diez durante el día siguiente. Se observaron tres etapas: reconocimiento con config-show → detección de archivos del núcleo → armamentización con config-create. Los nombres de archivo de los payloads incluían wp-pear-rce-flag.php, poc87902.php, luci_*.php, zeta_*.php, escritos en /tmp y /var/tmp. IPs atacantes: 169.58.48.193, 169.58.48.195, 2001:df1:e8c0::106b .

10. Impacto – Ejecución de código con privilegios del servidor web. Toma de control total del sitio, robo de credenciales de wp-config.php, exfiltración de datos, instalación de webshell, creación de usuarios administradores, reverse shell, ataques a la cadena de suministro mediante plugins/temas modificados y movimiento lateral hacia servicios conectados. La puntuación CVSS 9.2 refleja impacto explotable por red, sin autenticación, alto en confidencialidad/integridad/disponibilidad. La alta complejidad del ataque refleja las precondiciones del tema y del servidor, pero en hosting compartido típico esas condiciones se cumplen con frecuencia.

Versiones afectadas

• 4.7.0 – 4.7.37 – vulnerable
• 4.8.0 – 4.8.32 – vulnerable
• 4.9.0 – 4.9.33 – vulnerable
• 5.0.0 – 5.0.29 – vulnerable
• 5.1.0 – 5.1.26 – vulnerable
• 5.2.0 – 5.2.28 – vulnerable
• 5.3.0 – 5.3.25 – vulnerable
• 5.4.0 – 5.4.23 – vulnerable
• 5.5.0 – 5.5.22 – vulnerable
• 5.6.0 – 5.6.21 – vulnerable
• 5.7.0 – 5.7.19 – vulnerable
• 5.8.0 – 5.8.17 – vulnerable
• 5.9.0 – 5.9.18 – vulnerable
• 6.0.0 – 6.0.16 – vulnerable
• 6.1.0 – 6.1.14 – vulnerable
• 6.2.0 – 6.2.13 – vulnerable
• 6.3.0 – 6.3.12 – vulnerable
• 6.4.0 – 6.4.12 – vulnerable
• 6.5.0 – 6.5.12 – vulnerable
• 6.6.0 – 6.6.9 – vulnerable
• 6.7.0 – 6.7.9 – vulnerable
• 6.8.0 – 6.8.10 – vulnerable
• 6.9.0 – 6.9.9 – vulnerable
• 7.0.0 – 7.0.6 – vulnerable
• 7.1.0 – 7.1.1 – vulnerable

Parche

• Actualice a 4.7.37, 4.8.32, 4.9.33, 5.0.29, 5.1.26, 5.2.28, 5.3.25, 5.4.23, 5.5.22, 5.6.21, 5.7.19, 5.8.17, 5.9.18, 6.0.16, 6.1.14, 6.2.13, 6.3.12, 6.4.12, 6.5.12, 6.6.9, 6.7.9, 6.8.10, 6.9.9, 7.0.6 o 7.1.2 o posterior.
• Si la actualización no es posible, renombre o elimine el directorio page-* en el tema activo, establezca register_argc_argv=Off en php.ini, y bloquee el traversal con doble codificación en el parámetro pagename a nivel de WAF.

[<->] Herramientas

[</>] Comparación de características

[+] Resumen de casos de uso

[+] Instalación

requirements.txt

[/] Parámetros

Parámetros de exploit.py

Parámetros de safecheck.py

[>] Escenarios

🧪 Endpoint y cadena de explotación

El exploit utiliza los siguientes endpoints de WordPress y pasos de explotación:

Formato del payload

🛡️ Uso responsable

• Utilice estas herramientas únicamente en sistemas que posea o para los que tenga permiso escrito explícito de probar.
• El acceso no autorizado es ilegal y poco ético.
• Los autores no son responsables de ningún uso indebido.
• Cumpla siempre con las leyes y regulaciones de su país.

Este software se proporciona únicamente con fines educativos y para pruebas de seguridad autorizadas.