WordPress corrige falla crítica CVE-2026-87902 (CVSS 9.2) ya explotada activamente
El equipo de seguridad de WordPress confirmó una vulnerabilidad crítica identificada como CVE-2026-87902, con una puntuación CVSS de 9.2 sobre 10. El problema reside en get_page_template(), la función que WordPress usa para elegir qué plantilla debe cargar una página: uno de los nombres de archivo candidatos proviene directamente del parámetro pagename de la URL, sin la validación adecuada, lo que permite un path traversal capaz de incluir archivos PHP fuera del directorio del tema activo.
Bajo ciertas condiciones del servidor y de la estructura del tema activo, esa inclusión de archivos puede convertirse en ejecución remota de código sin necesidad de autenticación. Investigadores ya reportan que atacantes pasaron de simplemente sondear sitios vulnerables a explotar la falla de forma activa, escribiendo archivos en disco que ejecutan comandos de shell al ser accedidos.
WordPress corrigió el problema con el lanzamiento de la versión 7.1.2, y dada la severidad crítica, el parche se retroportó a todas las ramas compatibles desde la 4.7.0 en adelante — es decir, prácticamente cualquier instalación desactualizada está en riesgo.
Para las empresas dominicanas que operan sitios en WordPress (ya sea el sitio corporativo, un blog o una tienda en línea), la recomendación de Axentia es actualizar de inmediato a la versión 7.1.2 o superior, revisar registros de acceso en busca de patrones de explotación, y considerar un firewall de aplicación web (WAF) como capa adicional de protección mientras se completa la actualización en todos los entornos.
Fuentes: The Hacker News (thehackernews.com), BleepingComputer (bleepingcomputer.com), Security Affairs (securityaffairs.com).
