Kritieke WordPress Core-kwetsbaarheid CVE-2026-87902 kan leiden tot remote code execution

De WordPress Core-kwetsbaarheid CVE-2026-87902 maakt het voor een niet-ingelogde aanvaller onder bepaalde omstandigheden mogelijk om WordPress een gekozen lokaal PHP-bestand buiten de actieve theme-directory’s te laten includen. Wanneer daarnaast specifieke voorwaarden in het actieve theme en de serveromgeving aanwezig zijn, kan dit leiden tot remote code execution (RCE). WordPress heeft op 22 september 2026 versie 7.1.2 uitgebracht en adviseert websites onmiddellijk te updaten.

De kwetsbaarheid is bijzonder relevant omdat deze zich in WordPress Core bevindt en geen WordPress-account vereist. Patchstack heeft bovendien al enkele uren na het verschijnen van de beveiligingsupdate actieve probing naar kwetsbare websites waargenomen. Er is op dit moment echter geen bevestiging dat deze waargenomen scans daadwerkelijk tot succesvolle remote code execution of compromittering hebben geleid.

Wat is CVE-2026-87902?

CVE-2026-87902 bevindt zich in de verwerking van WordPress-paginatemplates. Een niet-geauthenticeerde aanvaller kan onder bepaalde voorwaarden de normale begrenzing van de template-resolutie omzeilen en WordPress een leesbaar lokaal PHP-bestand buiten de directory’s van het actieve theme laten includen.

Patchstack classificeert het probleem als path traversal die leidt tot Local File Inclusion (LFI) en, wanneer aanvullende voorwaarden aanwezig zijn, mogelijk tot Remote Code Execution.

De kwetsbaarheid heeft volgens Patchstack een CVSS 4.0-score van 9,2.

• CVE: CVE-2026-87902
• Software: WordPress Core
• Kwetsbaarheid: Path Traversal / Local File Inclusion
• Mogelijke impact: Remote Code Execution onder specifieke voorwaarden
• CVSS: 9,2 / Critical
• Authenticatie vereist: nee
• Gebruikersinteractie vereist: nee

Welke WordPress-versies zijn kwetsbaar?

Volgens de gepubliceerde beveiligingsinformatie treft CVE-2026-87902 WordPress vanaf versie 4.7.0 tot en met WordPress 7.1.1.

Voor de huidige WordPress 7.1-serie is de kwetsbaarheid opgelost in WordPress 7.1.2. De beveiligingsfix is daarnaast door WordPress teruggezet naar oudere branches die nog voor security-backports in aanmerking komen.

• WordPress 7.1: update naar 7.1.2
• WordPress 7.0: update naar 7.0.6
• WordPress 6.9: update naar 6.9.9
• WordPress 6.8: update naar 6.8.10
• WordPress 6.7: update naar 6.7.9
• WordPress 6.5: update naar 6.5.12
• WordPress 6.1: update naar 6.1.14
• WordPress 6.0: update naar 6.0.16
• WordPress 5.9: update naar 5.9.18
• WordPress 4.8: update naar 4.8.32
• WordPress 4.7: update naar 4.7.37

Voor productieomgevingen adviseert Vservs waar mogelijk de actuele ondersteunde WordPress-versie te gebruiken in plaats van langdurig op een oude WordPress-branch te blijven draaien.

Wanneer kan de kwetsbaarheid leiden tot remote code execution?

Het is belangrijk om CVE-2026-87902 technisch correct te duiden. De aanwezigheid van een kwetsbare WordPress-versie betekent niet automatisch dat een aanvaller direct willekeurige PHP-code kan uitvoeren.

WordPress bevestigt dat voor remote code execution relevante voorwaarden aanwezig moeten zijn in zowel de serveromgeving als het actieve theme.

Patchstack meldt onder andere dat succesvolle escalatie afhankelijk kan zijn van de structuur van het actieve parent- of child-theme en van de aanwezigheid van een geschikt lokaal PHP-bestand dat door de webserver kan worden gelezen.

De eerste stap van de aanval is daarmee een Local File Inclusion. Onder een geschikte combinatie van WordPress-, theme-, PHP- en serverconfiguratie kan deze worden gebruikt als onderdeel van een keten die uiteindelijk tot code execution leidt.

Actieve probing naar kwetsbare WordPress-websites waargenomen

De snelheid waarmee aanvallers op de beveiligingsupdate reageerden is opvallend.

Patchstack meldt dat het op 22 september 2026 om 17:44 UTC de eerste probing naar CVE-2026-87902 waarnam. Dat was minder dan vijf uur nadat WordPress 7.1.2 was gepubliceerd.

Volgens Patchstack komen de gebruikte requests overeen met de specifieke encoding die door de beveiligingspatch wordt aangepakt. Dit wijst erop dat aanvallers de wijzigingen in de WordPress-code snel hebben geanalyseerd en vervolgens internet-facing WordPress-installaties zijn gaan testen.

Dit is nog geen bevestiging van succesvolle exploitatie. Patchstack benadrukt dat de tot dusver waargenomen requests normale WordPress Core-bestanden probeerden te includen. De waarnemingen tonen actieve probing, maar bewijzen niet dat aanvallers via CVE-2026-87902 daadwerkelijk willekeurige code hebben uitgevoerd.

Wat moeten WordPress-beheerders nu doen?

Omdat de kwetsbaarheid zich in WordPress Core bevindt, geen authenticatie vereist en er al actieve probing is waargenomen, adviseert Vservs om niet met de update te wachten.

• Update WordPress zo snel mogelijk naar 7.1.2 of de beveiligde release binnen de gebruikte WordPress-branch.
• Controleer of automatische WordPress Core-updates succesvol zijn uitgevoerd.
• Maak waar nodig vooraf een actuele back-up van bestanden en database.
• Controleer na de update of de website en het actieve theme correct functioneren.
• Controleer verouderde parent- en child-themes en verwijder themes die niet meer worden gebruikt.
• Controleer de PHP- en webserverconfiguratie en voorkom dat onnodige PHP-bestanden buiten de website toegankelijk of bruikbaar zijn.
• Blijf niet onnodig op oude WordPress-versies draaien, ook wanneer daarvoor nog een security-backport beschikbaar is.

Controle op mogelijke compromittering

Websites die op 22 september of daarna nog een kwetsbare WordPress-versie gebruikten, kunnen aanvullend worden gecontroleerd op verdachte activiteit.

Let onder andere op:

• ongebruikelijke requests die betrekking hebben op paginatemplates of onverwachte bestandspaden;
• path-traversalconstructies of opvallende URL-encoding in accesslogs;
• onverwachte PHP-bestanden in WordPress-, upload- of tijdelijke directory’s;
• recent gewijzigde WordPress Core-bestanden die niet overeenkomen met de officiële release;
• onbekende WordPress-beheerdersaccounts;
• onverwachte wijzigingen aan themes of plugins;
• nieuwe cronjobs of geplande WordPress-taken zonder bekende oorsprong;
• onverwachte uitgaande netwerkverbindingen vanuit de website;
• PHP-processen of webserverrequests die bestanden buiten de gebruikelijke WordPress-directory’s proberen te benaderen.

Het aantreffen van een probe in een accesslog betekent niet automatisch dat een website is gecompromitteerd. Voor succesvolle remote code execution moeten aanvullende voorwaarden aanwezig zijn.

Waarom deze WordPress Core-kwetsbaarheid extra aandacht verdient

Veel ernstige WordPress-kwetsbaarheden bevinden zich in afzonderlijke plugins of themes. CVE-2026-87902 zit daarentegen in WordPress Core zelf.

Hierdoor is de potentiële installed base zeer groot. Bovendien is geen gebruikersaccount nodig om een kwetsbare website te benaderen en is inmiddels aangetoond dat externe partijen kort na publicatie actief naar de kwetsbaarheid zijn gaan zoeken.

Dat maakt snel patchen belangrijk, ook wanneer de specifieke serveromgeving uiteindelijk niet aan alle voorwaarden voor remote code execution blijkt te voldoen.

Managed WordPress en Managed VPS bij Vservs

Vservs volgt beveiligingsproblemen in WordPress Core, plugins, themes en onderliggende servercomponenten actief. Bij onze Managed WordPress-diensten verzorgen we onder andere beveiligingsupdates, hardening, monitoring, malwarecontrole, back-ups en technisch WordPress-beheer.

Voor websites en applicaties die een eigen serveromgeving nodig hebben, biedt Vservs ook Managed VPS. Daarbij verzorgen we onder andere technisch serverbeheer, relevante beveiligingsupdates, monitoring en server hardening.

Bij unmanaged hosting en unmanaged VPS-servers blijft het controleren en installeren van WordPress-, plugin-, theme- en serverupdates de verantwoordelijkheid van de beheerder.

Conclusie

De WordPress Core-kwetsbaarheid CVE-2026-87902 is een ernstige path traversal- en Local File Inclusion-kwetsbaarheid die zonder authenticatie kan worden benaderd. Wanneer daarnaast specifieke voorwaarden in het theme en de serveromgeving aanwezig zijn, kan de kwetsbaarheid leiden tot remote code execution.

WordPress heeft versie 7.1.2 op 22 september 2026 uitgebracht om het probleem te verhelpen en adviseert websites onmiddellijk te actualiseren.

Patchstack heeft minder dan vijf uur na publicatie van de beveiligingsupdate al actieve probing naar de kwetsbaarheid waargenomen. Er is op het moment van deze publicatie echter geen bevestiging dat de waargenomen probes daadwerkelijk tot succesvolle remote code execution of compromittering hebben geleid.

Vservs adviseert WordPress-beheerders daarom WordPress direct naar 7.1.2 of de beveiligde versie van hun gebruikte branch bij te werken.

Bronnen

• WordPress.org – WordPress 7.1.2 Security Release, 22 september 2026
• WordPress.org – WordPress Release Archive
• Patchstack – WordPress 7.1.2 Security Release: Unauthenticated LFI to RCE
• Patchstack – CVE-2026-87902: Attackers Started Probing WordPress Sites Hours After the Patch