WordPress security advisory (AV26-952) – Update 1
What it means
WordPress versioni precedenti a 7.1.2 sono vulnerabili a un problema di path traversal non autenticato che potrebbe portare a un RCE condizionato. La vulnerabilità CVE-2026-87902 è in uso in ambienti reali. Il Canadian Centre for Cyber Security ha pubblicato un avviso di sicurezza e raccomanda l'applicazione di patch.
Why it matters
Per le PMI italiane, la vulnerabilità potrebbe permettere ad attaccanti di eseguire comandi remoti senza autenticazione, compromettendo la sicurezza dei dati e la disponibilità del sito. L'aggiornamento tempestivo è fondamentale per evitare exploit in corso.
Recommended actions
- Applicare immediatamente l'aggiornamento a WordPress 7.1.2 o versione successiva
- Verificare che tutti i plugin e temi siano aggiornati a versioni compatibili
- Configurare regole di firewall per bloccare accessi non autorizzati a directory sensibili
- Monitorare i log di accesso per segnalare attività sospette
- Eseguire backup regolari e verificare la loro integrità
- Valutare l'uso di un WAF per filtrare richieste malformate
Potential operational benefits
- Riduzione della superficie esposta a vulnerabilità note
- Miglioramento della capacità di rilevamento di accessi non autorizzati
- Aumento della resilienza contro attacchi di tipo RCE
Translation in progress
The official content is available in the original language. The Italian version will be published once automated checks are complete.
Text acquired from the source
Serial number: AV26-952 Date: September 23, 2026 Updated: September 25, 2026 As of September 22, 2026, WordPress is affected by a vulnerability in the following product: WordPress Prior to 7.1.2 Open-source reporting indicates that CVE-2026-87902 is being exploited in the wild. Update 1 On September 25, 2026, Cybersecurity and Infrastructure Security Agency (CISA) added CVE-2026-87902 to their Known Exploited Vulnerabilities (KEV) Database. The Cyber Centre encourages users and administrators to review the provided web links and apply any necessary updates as they become available. Unauthenticated path traversal in page-template resolution leading to conditional RCE · Advisory · WordPress/wordpress-develop WordPress Releases CISA KEV: CVE-2026-87902
- Source
- Canadian Centre for Cyber Security (Canada)
- Publishing entity
- Canadian Centre for Cyber Security
- Entity type
- National CSIRT
- Area
- North America · CA
- Original language
- en · translation in preparation
- Publication
- 25/09/2026 22:33
- MITRE ATT&CK
- T1562, T1203
- CVE
- CVE-2026-87902
- Stated country
- CA
Affected products and versions
The collector will check NVD and the available official vendor advisories.