SecBoard
Zurück zur CVE-Übersicht

CVE-2026-87902

HIGH(8.1)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score62/100 — HOCH
  • CVSS 8.1 — Hoch
  • EPSS 40%
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

Erwähnungen (letzte 60 Tage)

Artikel

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

40.0%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

8.1

Technische Schwere

SecBoard-Einordnung

CVE-2026-87902 betrifft PHP und ermöglicht es einem nicht authentifizierten Angreifer, die Seiten-Template-Auflösung von get_page_template() zu manipulieren. Dies kann dazu führen, dass eine beliebige lesbare .php-Datei außerhalb der aktiven Theme-Verzeichnisse eingebunden wird. Unter bestimmten Server- und Theme-Voraussetzungen kann dies zu einer () führen. Die Schwachstelle wird aktiv ausgenutzt und ist im KEV-Katalog gelistet. Mit einem CVSS-Score von 8.1 (HIGH) und einer von 3% ist das Risiko als hoch einzustufen, insbesondere da aktive Ausnutzung bestätigt wurde. Security-Teams sollten umgehend prüfen, ob ihre PHP-Installationen betroffen sind. Eine schnelle Patch-Implementierung oder die Anwendung geeigneter Mitigationen ist dringend erforderlich, um das Risiko einer zu minimieren und die Systeme zu schützen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

An unauthenticated attacker can make `get_page_template()` page-template resolution include a chosen readable local `.php` file outside the active theme directories. If relevant pre-conditions for both the server and the active theme are met, this can lead to RCE.

Betroffene Produkte

  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
  • cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*

In diesen Analysen erwähnt

Wochenlage KW39: Zero-Days, kritische RCEs und aktive AusnutzungSecBoard

Referenzen