Alerta de Seguridad: WordPress - CVE-2026-87902 explotada activamente

// resumen_ejecutivo

CVE-2026-87902 (CVSS 9,2) permite inclusión de archivos PHP y posible RCE sin autenticación en WordPress bajo condiciones específicas. CISA confirma explotación activa.

// descripcion_detallada

CISA incorporó CVE-2026-87902 a su catálogo KEV el 25 de septiembre de 2026. La vulnerabilidad afecta la resolución de plantillas de página de WordPress y permite que un atacante no autenticado incluya un archivo PHP local legible fuera de los directorios del tema.

Cuando el tema contiene un directorio superior cuyo nombre comienza por page- y el entorno PHP reúne las condiciones descritas por WordPress, la falla puede derivar en ejecución remota de código. El proyecto asignó una puntuación CVSS de 9,2.

Alcance

Versiones afectadas desde WordPress 4.7 hasta las ramas anteriores a los parches publicados.
Temas citados: Twenty Twelve, Twenty Fourteen, Neve, Hestia y Sydney.
Explotación confirmada en entornos reales según CISA KEV.

// vectores_de_ataque

Red; atacante remoto sin autenticación; path traversal/inclusión de archivo PHP local; posible RCE si se cumplen las precondiciones del tema y del entorno PHP.

// versiones_afectadas

WordPress 4.7.0 a 4.7.36 y ramas posteriores hasta 7.1.1. Versiones corregidas: 4.7.37 y equivalentes de seguridad de cada rama, hasta 7.1.2.

// indicadores_de_compromiso 1 tipo

CVEs (1)

CVE-2026-87902

// recomendaciones_de_mitigacion

Acciones inmediatas recomendadas

Actualizar a WordPress 7.1.2 o a la versión corregida de la rama instalada.
Inventariar producción, staging, subdominios e imágenes de contenedores.
Revisar temas con directorios superiores que comiencen por page-.
Auditar register_argc_argv, pearcmd.php y permisos del servidor web.
Buscar archivos PHP nuevos o modificados, cuentas administrativas y tareas programadas inesperadas.
Si hay indicios de intrusión, aislar, preservar evidencia y rotar credenciales antes de restaurar.