WordPress 7.1.2: انتخاب template می‌توانست PHP خارج از تم را include کند

۲۲ سپتامبر ۲۰۲۶ وردپرس 7.1.2 را بیرون داد و باگ CVE-2026-87902 (GHSA-7hp8-65ch-5whp) را بست. داستان از «plugin قدیمی» نیست؛ از خود Core و مسیر resolve کردن page template است.

مهاجم بدون لاگین، اگر ترکیب خاصی از تم و پیکربندی سرور برقرار باشد، می‌تواند resolution قالب صفحه را طوری منحرف کند که یک فایل PHP خوانای محلی خارج از تم فعال include شود. از آنجا تا remote code execution فاصله کوتاه است — به‌شرطی که فایل هدف روی دیسک قابل خواندن باشد و پیش‌شرط‌های محیطی جور شوند. همهٔ سایت‌ها به‌طور یکسان در معرض نیستند؛ ولی برای میزبان‌های شلوغ و تم‌های سفارشی، همین «تحت شرایط» کافی است که اسکنر اینترنتی سمت شما بیاید.

فیکس در 7.1.2 است و به شاخه‌های پشتیبانی‌شده تا 4.7 هم backport شده. ۲۵ سپتامبر کلادفلر قانون‌های اضطراری WAF را برای پوشش موقت منتشر کرد؛ WAF جایگزین آپدیت Core نیست، فقط پنجره را کوتاه می‌کند. اگر هنوز روی 7.1.1 یا شاخه‌های قدیمی‌تر بدون backport هستید، ارتقا را جلو بیندازید و بعد از پچ، تم‌ها و must-use pluginهایی که مسیر template را دستکاری می‌کنند یک‌بار بازبینی کنید.