WordPress security advisory (AV26-952) – Update 1
Cosa significa
WordPress versioni precedenti a 7.1.2 sono vulnerabili a un problema di path traversal non autenticato che potrebbe portare a un RCE condizionato. La vulnerabilità CVE-2026-87902 è in uso in ambienti reali. Il Canadian Centre for Cyber Security ha pubblicato un avviso di sicurezza e raccomanda l'applicazione di patch.
Perché conta
Per le PMI italiane, la vulnerabilità potrebbe permettere ad attaccanti di eseguire comandi remoti senza autenticazione, compromettendo la sicurezza dei dati e la disponibilità del sito. L'aggiornamento tempestivo è fondamentale per evitare exploit in corso.
Azioni consigliate
- Applicare immediatamente l'aggiornamento a WordPress 7.1.2 o versione successiva
- Verificare che tutti i plugin e temi siano aggiornati a versioni compatibili
- Configurare regole di firewall per bloccare accessi non autorizzati a directory sensibili
- Monitorare i log di accesso per segnalare attività sospette
- Eseguire backup regolari e verificare la loro integrità
- Valutare l'uso di un WAF per filtrare richieste malformate
Benefici operativi potenziali
- Riduzione della superficie esposta a vulnerabilità note
- Miglioramento della capacità di rilevamento di accessi non autorizzati
- Aumento della resilienza contro attacchi di tipo RCE
Traduzione in elaborazione
Il contenuto ufficiale è disponibile nella lingua originale. La versione italiana verrà pubblicata al termine dei controlli automatici.
Testo acquisito dalla fonte
Serial number: AV26-952 Date: September 23, 2026 Updated: September 25, 2026 As of September 22, 2026, WordPress is affected by a vulnerability in the following product: WordPress Prior to 7.1.2 Open-source reporting indicates that CVE-2026-87902 is being exploited in the wild. Update 1 On September 25, 2026, Cybersecurity and Infrastructure Security Agency (CISA) added CVE-2026-87902 to their Known Exploited Vulnerabilities (KEV) Database. The Cyber Centre encourages users and administrators to review the provided web links and apply any necessary updates as they become available. Unauthenticated path traversal in page-template resolution leading to conditional RCE · Advisory · WordPress/wordpress-develop WordPress Releases CISA KEV: CVE-2026-87902
- Fonte
- Canadian Centre for Cyber Security (Canada)
- Entità pubblicatrice
- Canadian Centre for Cyber Security
- Tipo entità
- CSIRT nazionale
- Area
- North America · CA
- Lingua originale
- en · traduzione in preparazione
- Pubblicazione
- 25/09/2026 22:33
- MITRE ATT&CK
- T1562, T1203
- CVE
- CVE-2026-87902
- Paese indicato
- CA
Prodotti e versioni interessati
Il collector verificherà NVD e gli advisory vendor ufficiali disponibili.