Критическую уязвимость WordPress начали эксплуатировать через часы после патча

Уязвимость CVE-2026-87902 с оценкой CVSS 9.2 позволяет неавторизованному атакующему выполнять код на сервере. WordPress закрыл дыру в версии 7.1.2 от 22 сентября и во всех ветках до 4.7, но атаки начались уже в 11:49 UTC того же дня.

• CVE-2026-87902 в get_page_template() даёт выполнение кода без авторизации
• CVSS 9.2, патч вышел 22 сентября в WordPress 7.1.2 и ветках до 4.7
• Первые атаки зафиксированы в 11:49 UTC, пик 23 сентября — в 10 раз выше
• Previdian насчитала 68 попыток эксплуатации, жертвами стали немногие