概要

WordPress はページテンプレートを、選択されたファイルがテーマルート内に留まることを 一切検証しない連鎖を通じて解決する:

1. pagename と page_id は公開クエリ変数であり、WP::parse_request() が匿名の POST ボディから受け付ける。
2. pagename 内の二重エンコードされたトラバーサルは、初期のクエリサニタイズを エスケープされた %xx オクテットとして通過する (wp_basename() は %2f を セパレータとして認識できず、sanitize_title_with_dashes() は有効なオクテットを 意図的に保持する)。
3. その後、有効な page_id が実際に公開されたページを選択する一方で、悪意ある pagename はクエリオブジェクト内に残る。
4. get_page_template() が後にその値に対して urldecode() を呼び出し、 page-templates/../../../../../../../usr/local/lib/php/pearcmd.php のような 候補をテンプレート階層に追加する。
5. locate_template() と最終的なテンプレートローダーは、存在、読み取り可能性、 .php/.html 拡張子のみをチェックし、正規化されたパスが許可されたテーマルート内に あることは決して確認せず、そのまま include する。

これが WordPress Core における未認証のリモートローカルファイルインクルードプリミティブである。 テスト済みの公式ランタイム (wordpress:php8.3-apache、PEAR を同梱し php.ini を ロードしないため register_argc_argv が On) では、インクルードは PEAR の pearcmd.php を経由して連鎖された: 最初の匿名リクエストで config-create が 攻撃者制御の PHP を /tmp に書き込み、2 回目の匿名リクエストがそのファイルを インクルードして www-data として実行する。

Core におけるパス封じ込めの欠如が脆弱性である。PEAR はインクルードからコード実行への 環境依存の経路の一つに過ぎず、WordPress の依存関係ではなく、すべてのデプロイに 存在または利用可能なわけではない。

根本原因

検証済みのソースコード位置 (WordPress 7.0.2):

前提条件

単体のインクルードプリミティブには以下が必要:

実証された PEAR 段階にはさらに、読み取り可能な pearcmd.php (およびその依存関係)、 Web SAPI に対する register_argc_argv=On、書き込み可能な出力ディレクトリが必要である。 本番環境の php.ini ファイルは register_argc_argv=Off を設定する; テスト済みの イメージは php.ini をロードしないため、コンパイル時のデフォルト (On) が適用された。 これは実証されたコード実行連鎖の普及率に関する重要な制限である。

同梱の Twenty Twenty-Three/Four/Five テーマにはトップレベルの page-* ディレクトリが 存在しないため、標準のラボでは以下に記載するフィクスチャが必要である。カスタムテーマは page-templates/ レイアウトを正当に使用できる (WordPress ドキュメント)。

アドバイザリは、これらの条件が出荷済みソフトウェアのどこで発生するかを記録している: テーマ条件はレガシーの Twenty Twelve および Twenty Fourteen テーマ、ならびに Neve、 Hestia、Sydney などのサードパーティテーマで満たされ、PEAR 遷移は公式 PHP Docker イメージおよび PHP 8.5 より古い PHP を実行するデフォルトの cPanel 構成に適用される。 (Twenty Twelve と Twenty Fourteen はどちらもトップレベルの page-templates/ ディレクトリを同梱している; 残りの記述はアドバイザリによるものである。) 本リポジトリは 完全な連鎖がどの程度の頻度で適用されるかを測定していない。

クイックスタート

cve-2026-87902.py は Python 3.6+ (標準ライブラリのみ) を必要とし、デフォルトで http://127.0.0.1:8091 のラボに到達する。期待される出力:

終了コードは成功時 0、それ以外は 1 であるため、PoC は回帰/検出チェックとしても 機能する。

後片付け: docker compose down -v。

検証結果

2026-09-22 に本ラボ (Docker 29.4、OrbStack、Apple silicon) に対して実行:

証明アーティファクトはコンテナ内の /flag で、root 所有かつ全ユーザー読み取り可能 (root:root、モード 0444)。これは Web サーバーアカウントとして の PHP 実行と ファイルアクセスを証明するものであり、権限昇格の対象ではない。

連鎖の仕組み

2 回の匿名 POST。WordPress のルーティング値はフォームボディで送信され、PEAR の 引数は生のクエリ文字列で送信される (PHP は生のクエリ文字列をリテラルの + で argv に分割し、個々の引数を URL デコードしない):

段階 1 — pearcmd.php をインクルードし、ペイロードを書き込む:

段階 2 — 生成されたファイルをインクルードし、その PHP を実行する:

重要な詳細:

• 2 層のエンコーディング。 ボディは PHP によって一度デコードされ templates%2f%2e%2e%2f... になる; サニタイザーはそれらのオクテットを保持し、 get_page_template() の後半の urldecode() だけがそれらを / と .. に変換する。
• page- プレフィックス。 WordPress は値の先頭に page- を付加するため、 フィクスチャディレクトリ page-templates/ は先頭の templates セグメントに 対応する。
• 強制される .php サフィックス。 候補は page-<decoded>.php であるため、 ターゲットはサフィックスなしで指定される (.../pearcmd、/tmp/wp-pear-rce-flag)。
• GET ではなく POST。 redirect_canonical() は非 GET/HEAD リクエストを スキップし、フォームボディによりクエリ文字列は PEAR 引数のみを運ぶことができる。
• クォート不要のペイロード。 wp_magic_quotes() は $_SERVER に対しても 実行されるため、サーバーが構築した argv はエスケープされ、PEAR が後に バックスラッシュを正規化する。検証済みのペイロードは chr() を使用し、 クォート文字を含まない。(これは <?=file_get_contents('/flag')?> に簡約される。)
• config-create のルートパス。 PEAR は相対ルートを拒否する (Root directory must be an absolute path beginning with "/") ため、 ペイロードはルートパス自体として注入される。
• 深さ。 cve-2026-87902.py はトラバーサルがターゲットに到達するまで .. セグメントを進める (本ラボのレイアウトでは 7、--depth で固定可能)。

ラボ

lab/up.sh は 3 つのステップを実行し、再実行しても安全である:

1. docker compose up -d --build --wait — 固定された wordpress:7.0.2-php8.3-apache と mysql:8.4、ポート 127.0.0.1:8091 (ループバックのみ)。
2. サイトがまだインストールされていない場合、WordPress インストーラー (admin / adminadmin) を実行する。
3. アクティブなテーマ内にフィクスチャを作成し、それを出力する: wp-content/themes/twentytwentyfive/page-templates/、root:root、モード 0755、空。

ラボイメージはコンパイル時のデフォルトに依存する代わりに register_argc_argv=On を明示的に追加し (lab/Dockerfile)、/flag を焼き込む (root:root、モード 0444、内容 CVE-2026-87902-POC-OK)。

ローリングタグ wordpress:php8.3-apache はこのラボには使用できない: バグは 7.1.2 で修正されており、固定されていないタグはラボを気付かないうちに パッチ適用済みにしてしまう。

ネガティブコントロールと制限事項

検証済みまたは文書化されたコントロール:

• テーマにトップレベルの page-* ディレクトリが存在しない → 固定プレフィックスを 除去できず、トラバーサルは開始されない (検証済み: フィクスチャ削除 → マーカーなし)。
• register_argc_argv=Off → PEAR ライターは機能しないが、インクルードプリミティブは 残る。
• PEAR またはその依存関係が存在しない → ライターなし。
• .. セグメントの数が誤っている → ターゲットに到達しない (検証済み: 深さ 1-6 および 8-12 はラボでマーカーを生成しない)。
• ページにカスタムページテンプレートが割り当てられている → 悪意ある候補より前に 順序付けられ、優先される。
• サフィックスのないファイル (例: /flag) は直接読み取れない — 候補には .php が 付加される。
• リクエストターゲット内の生の <、>、= バイトを拒否する WAF/CDN/リバース プロキシは PEAR 引数チャネルを破壊する (デプロイ固有)。
• open_basedir/MAC 封じ込めまたは書き込み不可能な出力ディレクトリは連鎖を 破壊する; /tmp 上の noexec は破壊しない (PHP はファイルを読み取って解釈する)。

この PoC は検証済みの 1 つの構成を再現するものである。すべての WordPress インストールが悪用可能であると主張するものではなく、普及率を測定するものでもない。

修復

• アップグレード を WordPress 7.1.2 以降 (またはお使いのブランチのバックポート) に 行う。
• テンプレート処理に対する 多層防御: デコード後、トラバーサルおよび絶対パスの 候補を拒否し (例: validate_file())、配置されたテンプレートをインクルードする前に、 候補とテーマルートの realpath() を末尾のディレクトリセパレータ付きで比較する。
• 運用者による緩和策: Web SAPI に対して register_argc_argv=Off を設定し、 本番イメージから未使用の Web 読み取り可能な PEAR エントリポイントを削除し、 子テーマおよび親テーマのトップレベル page-* ディレクトリを監査し、PHP アカウントの書き込みアクセスを制限する。

ファイル

開示タイムライン

このレポートは、当初の分類が改訂された後、有効なセキュリティ上の発見として受理された; やり取りにはその受理の日付は記載されていない。

免責事項

本リポジトリは防御および研究目的で公開されている。所有しているか、明示的にテストを 許可されたシステムに対してのみ使用すること。ラボは 127.0.0.1 にバインドされており、 信頼できないネットワークに公開してはならない。

ライセンス

MIT — LICENSE を参照。引用メタデータは CITATION.cff にある:

Ressl, Robert (2026). CVE-2026-87902 PoC: unauthenticated path traversal in WordPress page-template resolution (v1.0.0). https://ressl.ch

脆弱性レポートと本 PoC は、構成と一貫性のレビューのために AI の支援を受けて 作成された; 技術的主張の責任は研究者にある。