WordPress Core CVE-2026-87902 au CISA KEV : inclusion de fichier via les modèles de page

Le 25 septembre 2026, la CISA a ajouté CVE-2026-87902 à son catalogue KEV, avec une échéance au 28 septembre. Elle touche le cœur de WordPress — pas un plugin, pas un thème — et elle permet à un attaquant non authentifié d'aboutir à une exécution de code.

NVD n'a pas encore publié de score, de vecteur ni de versions à la date de rédaction. Tout ce qui suit s'appuie sur la seule fiche CISA. Pour la version à installer, c'est l'annonce de sécurité de WordPress.org qui fait foi.

Ce que dit la CISA

WordPress Core contains a remote file inclusion vulnerability which could allow an unauthenticated attacker to make page-template resolution include a chosen readable local .php file outside the active theme directories, leading to remote code execution.

Trois éléments à retenir :

• Non authentifié. Pas besoin de compte sur le site.
• La résolution des modèles de page. C'est le mécanisme qui choisit quel fichier PHP du thème sert à afficher une page donnée. Il est actif sur toutes les installations : chaque page servie passe par lui.
• Un fichier .php local lisible, hors des répertoires du thème actif. L'attaquant n'injecte pas de code à distance : il fait inclure un fichier qui existe déjà sur le serveur, mais que WordPress n'aurait jamais dû charger dans ce contexte.

Pourquoi c'est grave malgré la contrainte « fichier local »

On pourrait penser que l'obligation de viser un fichier déjà présent limite fortement l'impact. En pratique, une installation WordPress contient des centaines de fichiers PHP hors du thème actif : thèmes inactifs, plugins désactivés mais jamais supprimés, scripts d'installation, outils de maintenance déposés par un prestataire. Chacun devient exécutable hors de son contexte prévu, sans les contrôles qui l'entouraient normalement.

Et si un attaquant parvient par ailleurs à déposer un fichier sur le serveur, même dans un répertoire où il n'est pas censé être exécuté, ce type de faille sert précisément à le faire exécuter. C'est pour cela que la CISA parle de RCE.

L'exploitation est confirmée par l'inscription au KEV. Sur un CMS déployé à cette échelle, et sans authentification, il faut considérer les scans automatisés comme déjà en cours.

Versions

NVD n'a publié aucune version affectée ni corrigée. Je ne vais pas en inventer. Consulte l'annonce de sécurité WordPress.org correspondant à CVE-2026-87902, et vérifie sur chaque site la version réellement installée (tableau de bord, ou wp core version en WP-CLI).

Point d'attention : les mises à jour mineures de sécurité sont appliquées automatiquement par défaut. Beaucoup d'hébergements ou d'agences les désactivent pourtant. Si c'est ton cas, ces sites n'ont rien reçu.

Détection

• Intégrité du cœur : wp core verify-checksums signale tout fichier du cœur modifié ou ajouté
• Fichiers PHP inattendus dans wp-content/uploads/ et dans les répertoires de thèmes et plugins, en particulier récents
• Journaux d'accès : pics de requêtes inhabituelles sur des pages publiques, paramètres de requête atypiques, erreurs PHP « include » dans les journaux d'erreurs
• Comptes administrateurs créés récemment, et modifications des options du site que personne n'a faites
• Processus enfants de PHP-FPM ou du serveur web

Mitigation

1. Mettre à jour WordPress vers la version de sécurité indiquée par WordPress.org, sur tous les sites. L'échéance CISA tombe aujourd'hui.
2. Réactiver les mises à jour automatiques de sécurité du cœur là où elles ont été coupées.
3. Supprimer thèmes et plugins inactifs, scripts d'installation et outils oubliés : chaque fichier PHP retiré est un fichier qui ne pourra pas être inclus.
4. Interdire l'exécution PHP dans wp-content/uploads/ au niveau du serveur web.
5. Si un WAF est en place, vérifier que l'éditeur a publié une règle pour cette CVE — en complément de la mise à jour, pas à la place.
6. En cas de compromission : restaurer depuis une sauvegarde saine, faire tourner les secrets de wp-config.php (base de données, clés de salage) et les mots de passe administrateurs.

Ce n'est pas la première fois cette année que le cœur de WordPress passe au KEV : en juillet, deux CVE chaînées menaient déjà à une RCE non authentifiée.

Pourquoi surveiller en continu vos sites WordPress

Un parc WordPress, c'est souvent des dizaines de sites, hébergés à des endroits différents, mis à jour par des personnes différentes. Quand une faille du cœur est exploitée avec trois jours d'échéance et sans version publiée par NVD, savoir quel site tourne en quelle version est la seule chose qui permet d'agir vite.

Avec cveo.tech, inventorie tes sites et leurs versions, et reçois une alerte dès qu'une CVE au CISA KEV les touche.