CVE-2026-87902-Toolkit

Toolkit WordPress CVE-2026-87902 LFI-to-RCE con una catena di exploit weaponized (PEAR RCE, webshell, creazione admin, loot) e una versione SafeChecker non intrusiva e un risk auditor.

La falla interessa ogni release di WordPress dal 2016 — un decennio di versioni che hanno superato la revisione del codice senza essere rilevate. La causa principale è una singola chiamata di validazione mancante in uno dei percorsi di codice più utilizzati del CMS.

Come funziona

1. Risoluzione del template non sanificata – get_page_template() in wp-includes/template.php costruisce i candidati template dalla variabile di query pagename. Un percorso di codice adiacente nella stessa funzione applica validate_file() per bloccare le sequenze ../, ma il ramo $pagename non la chiama. Qualsiasi traversal in pagename passa senza controlli.

2. Bypass del traversal con doppia codifica – WordPress applica sanitize_title_for_query() a pagename, che sostituisce i punti letterali (.) con trattini per prevenire il traversal. Ma la funzione opera su input già decodificato e non decodifica ricorsivamente. Un attaccante invia %252e%252e%252f; il web server lo decodifica una volta in %2e%2e%2f; il sanitizer non vede punti letterali e lo lascia passare; poi get_page_template() chiama di nuovo urldecode() all'interno della funzione, producendo ../.

3. Precondizione della directory del tema – Il tema attivo deve contenere una directory di primo livello il cui nome inizia con page- (es. page-templates/). Il nome file costruito page-{pagename}.php sfugge quindi dalla root del tema tramite il traversal. I vecchi temi predefiniti (Twenty Twelve, Twenty Fourteen) e i popolari temi di terze parti (Neve, Hestia, Sydney) includono questa directory. Anche i temi child che ereditano da tali parent soddisfano la precondizione.

4. Sink LFI in locate_template() – Il percorso candidato viene passato a locate_template(), che cerca nelle directory del tema. Poiché il traversal risolve in un file al di fuori di quelle directory, e la funzione controlla solo file_exists(), qualsiasi file .php leggibile viene incluso con pieni privilegi del web server. Questo rende la LFI incondizionata su qualsiasi sito non patchato che soddisfi la precondizione del tema — incluso wp-config.php con le sue credenziali del database e i salt di autenticazione.

5. Escalation RCE tramite PEAR pearcmd.php – PEAR è incluso in molte installazioni PHP. Il suo pearcmd.php è normalmente solo CLI, ma quando register_argc_argv=On, PHP popola $_SERVER['argv'] dalla query string dell'URL. L'attaccante include pearcmd.php tramite la LFI, passa config-create come argomento e fornisce codice PHP più un percorso di output (/tmp/shell.php). PEAR scrive il codice dell'attaccante su disco; una seconda inclusione lo esegue.

6. Seconda via di sfruttamento – Una richiesta che combina name (slug della front-page), page_id (ID della pagina dei post), preview=true e un payload pagename devia WP_Query nel suo ramo post_name, che non riscrive mai pagename tramite sanitize_title_for_query(). Questo consente punti letterali nel traversal. Richiede un tema senza single.php.

7. Requisiti di configurazione del server – La RCE dipende da due condizioni comuni nelle distribuzioni reali: pearcmd.php presente/leggibile (frequente su shared hosting, cPanel, immagini Docker PHP ufficiali), e register_argc_argv=On (predefinito in PHP sotto la 8.5). PHP 8.5 ha cambiato il default in Off. Su un server moderno PHP 8.5+ senza PEAR, lo sfruttamento si ferma alla LFI.

8. La patch – WordPress 7.1.2 aggiunge due livelli di difesa: (a) la chiamata mancante a validate_file() nel ramo pagename, e (b) una nuova funzione _wp_is_template_path_allowed() chiamata da locate_template() per ogni template risolto. La funzione rifiuta i percorsi contenenti .., poi risolve il percorso reale tramite realpath() e verifica che si trovi all'interno di una delle directory del tema consentite. Questa difesa in profondità chiude il sink, non solo una via verso di esso.

9. Sfruttamento attivo in the wild – Prime richieste malevole osservate 5 ore dopo il rilascio della patch (17:44 UTC, 22 settembre 2026). Il traffico è aumentato di dieci volte nel giorno successivo. Osservate tre fasi: ricognizione config-show → rilevamento file core → weaponization config-create. I nomi dei file di payload includevano wp-pear-rce-flag.php, poc87902.php, luci_*.php, zeta_*.php, scritti in /tmp e /var/tmp. IP attaccanti: 169.58.48.193, 169.58.48.195, 2001:df1:e8c0::106b.

10. Impatto – Esecuzione di codice con i privilegi del web server. Takeover completo del sito, furto di credenziali da wp-config.php, esfiltrazione di dati, installazione di webshell, creazione di utenti admin, reverse shell, attacchi supply-chain tramite plugin/temi modificati e movimento laterale verso servizi connessi. Il punteggio CVSS 9.2 riflette l'impatto sfruttabile via rete, senza autenticazione, con alto impatto su riservatezza/integrità/disponibilità. L'elevata complessità di attacco riflette le precondizioni del tema e del server, ma su tipico shared hosting tali condizioni sono frequentemente soddisfatte.

Versioni Affette

• 4.7.0 – 4.7.37 – vulnerabile
• 4.8.0 – 4.8.32 – vulnerabile
• 4.9.0 – 4.9.33 – vulnerabile
• 5.0.0 – 5.0.29 – vulnerabile
• 5.1.0 – 5.1.26 – vulnerabile
• 5.2.0 – 5.2.28 – vulnerabile
• 5.3.0 – 5.3.25 – vulnerabile
• 5.4.0 – 5.4.23 – vulnerabile
• 5.5.0 – 5.5.22 – vulnerabile
• 5.6.0 – 5.6.21 – vulnerabile
• 5.7.0 – 5.7.19 – vulnerabile
• 5.8.0 – 5.8.17 – vulnerabile
• 5.9.0 – 5.9.18 – vulnerabile
• 6.0.0 – 6.0.16 – vulnerabile
• 6.1.0 – 6.1.14 – vulnerabile
• 6.2.0 – 6.2.13 – vulnerabile
• 6.3.0 – 6.3.12 – vulnerabile
• 6.4.0 – 6.4.12 – vulnerabile
• 6.5.0 – 6.5.12 – vulnerabile
• 6.6.0 – 6.6.9 – vulnerabile
• 6.7.0 – 6.7.9 – vulnerabile
• 6.8.0 – 6.8.10 – vulnerabile
• 6.9.0 – 6.9.9 – vulnerabile
• 7.0.0 – 7.0.6 – vulnerabile
• 7.1.0 – 7.1.1 – vulnerabile

Patch

• Aggiornare a 4.7.37, 4.8.32, 4.9.33, 5.0.29, 5.1.26, 5.2.28, 5.3.25, 5.4.23, 5.5.22, 5.6.21, 5.7.19, 5.8.17, 5.9.18, 6.0.16, 6.1.14, 6.2.13, 6.3.12, 6.4.12, 6.5.12, 6.6.9, 6.7.9, 6.8.10, 6.9.9, 7.0.6, o 7.1.2 o successive.
• Se l'aggiornamento non è possibile, rinominare o rimuovere la directory page-* nel tema attivo, impostare register_argc_argv=Off in php.ini, e bloccare il traversal con doppia codifica nel parametro pagename a livello di WAF.

[<->] Strumenti

[</>] Confronto Funzionalità

[+] Riepilogo Casi d'Uso

[+] Installazione

requirements.txt

[/] Parametri

Parametri exploit.py

Parametri safecheck.py

[>] Scenari

🧪 Endpoint e Catena di Sfruttamento

L'exploit utilizza i seguenti endpoint WordPress e passaggi di sfruttamento:

Formato Payload

🛡️ Uso Responsabile

• Usa questi strumenti solo su sistemi di tua proprietà o per i quali hai esplicita autorizzazione scritta al test.
• L'accesso non autorizzato è illegale e non etico.
• Gli autori non sono responsabili per qualsiasi uso improprio.
• Rispetta sempre le leggi e i regolamenti del tuo paese.

Questo software è fornito solo a scopo educativo e per test di sicurezza autorizzati.