{"id":6010,"date":"2026-09-30T09:03:16","date_gmt":"2026-09-30T14:03:16","guid":{"rendered":"https:\/\/cert.pa\/?p=6010"},"modified":"2026-09-30T09:03:17","modified_gmt":"2026-09-30T14:03:17","slug":"csirt-panama-aviso-2026-sep-29-vulnerabilidad-critica-en-wordpress-core-que-permite-ejecucion-remota-de-codigo-cve-2026-87902","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=6010","title":{"rendered":"CSIRT Panam\u00e1 Aviso 2026-sep-29: Vulnerabilidad Cr\u00edtica en WordPress Core que permite ejecuci\u00f3n remota de c\u00f3digo \u2014 CVE-2026-87902"},"content":{"rendered":"\n

Fecha de emisi\u00f3n:<\/strong> 29 de septiembre de 2026
CVE ID:<\/strong> CVE-2026-87902
Severidad:<\/strong> CR\u00cdTICA \u2014 CVSS 3.1: 8.1
Vector CVSS:<\/strong> CVSS:3.1\/AV:N\/AC:H\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A:H
Tipo de vulnerabilidad:<\/strong> Inclusi\u00f3n de archivos (local file inclusion)
Producto afectado:<\/strong> WordPress Core
Explotaci\u00f3n activa:<\/strong> S\u00ed \u2014 Incluida en el cat\u00e1logo CISA KEV (Known Exploited Vulnerabilities) desde el 25 de septiembre de 2026
Fuente:<\/strong> WordPress \/ NVD \/ CISA \/ INCIBE-CERT
Clasificaci\u00f3n TLP:<\/strong> TLP:CLEAR (Difusi\u00f3n p\u00fablica)<\/p>\n\n\n\n

I. Descripci\u00f3n<\/strong><\/p>\n\n\n\n

Se ha identificado una vulnerabilidad de inclusi\u00f3n de archivos en WordPress Core, registrada como CVE-2026-87902 y calificada con 8.1 de 10 en la escala CVSS 3.1. Un atacante no autenticado puede forzar que la funci\u00f3n get_page_template() incluya un archivo .php local fuera del directorio del tema activo.<\/p>\n\n\n\n

Bajo ciertas condiciones del servidor y del tema, esto permite la ejecuci\u00f3n remota de c\u00f3digo. Se ha observado explotaci\u00f3n a pocas horas de publicado el parche.<\/p>\n\n\n\n

El 25 de septiembre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorpor\u00f3 a su cat\u00e1logo de Known Exploited Vulnerabilities (KEV), lo que confirma que est\u00e1 siendo explotada activamente.<\/p>\n\n\n\n

II. Productos Afectados<\/strong><\/p>\n\n\n\n

Producto<\/th>Versiones afectadas<\/th>Versi\u00f3n corregida<\/th><\/tr><\/thead>
WordPress 7.1<\/td>7.1.0 a 7.1.1<\/td>7.1.2<\/td><\/tr>
WordPress 7.0<\/td>7.0.0 a 7.0.5<\/td>7.0.6<\/td><\/tr>
WordPress 6.9<\/td>6.9.0 a 6.9.8<\/td>6.9.9<\/td><\/tr>
WordPress 6.8<\/td>6.8.0 a 6.8.9<\/td>6.8.10<\/td><\/tr>
WordPress 6.7<\/td>6.7.0 a 6.7.8<\/td>6.7.9<\/td><\/tr>
WordPress 6.6<\/td>6.6.0 a 6.6.8<\/td>6.6.9<\/td><\/tr>
WordPress 6.5<\/td>6.5.0 a 6.5.11<\/td>6.5.12<\/td><\/tr>
WordPress 4.7 a 6.4 (ramas anteriores)<\/td>Todas las versiones sin el parche de su rama<\/td>\u00daltima versi\u00f3n de seguridad de su rama (p. ej. 6.4.12, 6.0.16, 5.9.18, 4.7.37). Se recomienda migrar a 7.1.2<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Para identificar la versi\u00f3n instalada, consultar Escritorio \u203a Actualizaciones<\/em> en el panel de administraci\u00f3n de WordPress. La lista completa de versiones corregidas por rama est\u00e1 disponible en el aviso oficial GHSA-7hp8-65ch-5whp.<\/p>\n\n\n\n

III. Acciones Requeridas<\/strong><\/p>\n\n\n\n

1. Actualizar inmediatamente<\/strong>
Actualizar WordPress a la \u00faltima versi\u00f3n de seguridad de su rama y verificar que las actualizaciones autom\u00e1ticas est\u00e9n activas.<\/p>\n\n\n\n

2. Mitigar inmediatamente si no es posible parchear<\/strong>
Mientras se realiza la actualizaci\u00f3n, aplicar reglas WAF que bloqueen la manipulaci\u00f3n de plantillas de p\u00e1gina y restringir el acceso a los sitios que no sean p\u00fablicos.<\/p>\n\n\n\n

3. Verificar posible compromiso<\/strong>
El parche cierra el vector de explotaci\u00f3n, pero no elimina un acceso que el atacante ya haya obtenido. Revisar los registros y el sistema en busca de actividad inusual desde antes de la actualizaci\u00f3n (cuentas nuevas, archivos o procesos desconocidos, conexiones salientes no habituales) y reportar cualquier hallazgo a incidentes@cert.pa.<\/p>\n\n\n\n

IV. Referencias<\/strong><\/p>\n\n\n\n