CVE‑2026‑87902 – WordPress 未認証 LFI→RCE ツールキット

倫理的な使用のみ – 許可されたセキュリティテスト
このリポジトリは、許可されたセキュリティ専門家、ブルーチーム、ペネトレーションテスターのみにツールを提供します。
コンピュータシステムへの不正アクセスは、CFAA（米国）、Computer Misuse Act（英国）、TCK 243/244（トルコ）、および世界中の同様の法律の下で違法です。

📖 脆弱性の概要

CVE‑2026‑87902 は、WordPress Core（バージョン 4.7.0 から 7.1.1）における重大な未認証のパストラバーサルおよびローカルファイルインクルージョン（LFI）脆弱性であり、未認証の攻撃者が pagename クエリパラメータを介して任意のローカル .php ファイルをインクルードできるようにし、特定のサーバー条件下では PEAR の pearcmd.php ファイルを連鎖させることで**リモートコード実行（RCE）**にエスカレートします。CVSS スコア：9.2（Critical）。2026年7月に Robert Ressl によって WordPress の HackerOne プログラムを通じて開示されました。2026年9月22日に 7.1.2 で修正され、4.7 までバックポートされました。

この欠陥は2016年以降のすべての WordPress リリースに影響します — コードレビューを検出されずに通過した10年間のバージョンです。根本原因は、CMS で最も頻繁に通過されるコードパスの1つにおける単一の欠落した検証呼び出しです。

仕組み

1. サニタイズされていないテンプレート解決 – wp-includes/template.php の get_page_template() は、pagename クエリ変数からテンプレート候補を構築します。同じ関数内の隣接するコードパスは validate_file() を適用して ../ シーケンスをブロックしますが、$pagename ブランチはそれを呼び出しません。pagename 内の任意のトラバーサルはチェックされずに通過します。

2. 二重エンコードされたトラバーサルバイパス – WordPress は pagename に sanitize_title_for_query() を適用し、リテラルのドット（.）をハイフンに置き換えてトラバーサルを防ぎます。しかし、この関数はすでにデコードされた入力に対して動作し、再帰的にデコードしません。攻撃者は %252e%252e%252f を送信します。Web サーバーはそれを一度デコードして %2e%2e%2f にします。サニタイザーはリテラルのドットを見ないため通過させます。その後 get_page_template() が関数内で再度 を呼び出し、 を生成します。

影響を受けるバージョン

• 4.7.0 – 4.7.37 – 脆弱
• 4.8.0 – 4.8.32 – 脆弱
• 4.9.0 – 4.9.33 – 脆弱
• 5.0.0 – 5.0.29 – 脆弱
• 5.1.0 – 5.1.26 – 脆弱
• 5.2.0 – 5.2.28 – 脆弱
• 5.3.0 – 5.3.25 – 脆弱
• 5.4.0 – 5.4.23 – 脆弱
• 5.5.0 – 5.5.22 – 脆弱
• 5.6.0 – 5.6.21 – 脆弱
• 5.7.0 – 5.7.19 – 脆弱
• 5.8.0 – 5.8.17 – 脆弱
• 5.9.0 – 5.9.18 – 脆弱
• 6.0.0 – 6.0.16 – 脆弱
• 6.1.0 – 6.1.14 – 脆弱
• 6.2.0 – 6.2.13 – 脆弱
• 6.3.0 – 6.3.12 – 脆弱
• 6.4.0 – 6.4.12 – 脆弱
• 6.5.0 – 6.5.12 – 脆弱
• 6.6.0 – 6.6.9 – 脆弱
• 6.7.0 – 6.7.9 – 脆弱
• 6.8.0 – 6.8.10 – 脆弱
• 6.9.0 – 6.9.9 – 脆弱
• 7.0.0 – 7.0.6 – 脆弱
• 7.1.0 – 7.1.1 – 脆弱

パッチ

• 4.7.37、4.8.32、4.9.33、5.0.29、5.1.26、5.2.28、5.3.25、5.4.23、5.5.22、5.6.21、5.7.19、5.8.17、5.9.18、6.0.16、6.1.14、6.2.13、6.3.12、6.4.12、6.5.12、6.6.9、6.7.9、6.8.10、6.9.9、7.0.6、または 7.1.2 以降にアップグレードしてください。
• アップグレードが不可能な場合は、アクティブなテーマの page-* ディレクトリの名前を変更または削除し、php.ini で register_argc_argv=Off を設定し、WAF レベルで pagename パラメータの二重エンコードされたトラバーサルをブロックしてください。

[<->] ツール

[</>] 機能比較

[+] ユースケースの概要

[+] インストール

git clone https://github.com/tc4dy/CVE-2026-87902-Toolkit
cd CVE-2026-87902-Toolkit
pip install -r requirements.txt

requirements.txt

requests
urllib3

[/] パラメータ

exploit.py パラメータ

safecheck.py パラメータ

[>] シナリオ

🧪 エンドポイントと悪用チェーン

エクスプロイトは以下の WordPress エンドポイントと悪用ステップを使用します：

ペイロード形式

# Double-encoded traversal example
pagename = page-templates/..%252f..%252f..%252f..%252fusr/local/lib/php/pearcmd

# PEAR config-create RCE chain
GET /?+config-create+/&page_id=2&pagename={encoded_pearcmd}&/{encoded_php}+/tmp/shell.php

# PEAR include trigger
GET /?page_id=2&pagename={encoded_output_path}

🛡️ 責任ある使用

• これらのツールは、所有しているか、テストする明示的な書面による許可を得ているシステムでのみ使用してください。
• 不正アクセスは違法であり、非倫理的です。
• 作者は、いかなる誤用に対しても責任を負いません。
• 常にあなたの国の法律と規制に従ってください。

このソフトウェアは、教育目的および許可されたセキュリティテストのみに提供されています。