WordPress : une faille d’inclusion de fichier peut mener à l’exécution de code à distance

CVE-2026-87902

Nature

inclusion de fichier PHP local arbitraire lors de la résolution du gabarit de page, pouvant mener à l’exécution de code à distance sans authentification

CVSS v3.1, gravité

CVSS8,1

Corrigé dans

• 4.7.37
• 4.8.32
• 4.9.33
• 5.0.29
• 5.1.26
• 5.2.28
• 5.3.25
• 5.4.23
• 5.5.22
• 5.6.21
• 5.7.19
• 5.8.17
• 5.9.18
• 6.0.16
• 6.1.14
• 6.2.13
• 6.3.12
• 6.4.12
• 6.5.12
• 6.6.9

Versions touchées

• wordpress : < 4.7.37
• wordpress : >= 4.8, < 4.8.32
• wordpress : >= 4.9, < 4.9.33
• wordpress : >= 5.0, < 5.0.29
• wordpress : >= 5.1, < 5.1.26
• wordpress : >= 5.2, < 5.2.28
• wordpress : >= 5.3, < 5.3.25
• wordpress : >= 5.4, < 5.4.23
• wordpress : >= 5.5, < 5.5.22
• wordpress : >= 5.6, < 5.6.21
• wordpress : >= 5.7, < 5.7.19
• wordpress : >= 5.8, < 5.8.17
• wordpress : >= 5.9, < 5.9.18
• wordpress : >= 6.0, < 6.0.16
• wordpress : >= 6.1, < 6.1.14
• wordpress : >= 6.2, < 6.2.13
• wordpress : >= 6.3, < 6.3.12
• wordpress : >= 6.4, < 6.4.12
• wordpress : >= 6.5, < 6.5.12
• wordpress : >= 6.6, < 6.6.9

Vecteur CVSS v3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS (24/10)

EPSS40,0 % (98^e centile)

Catalogue KEV

KEVExploitéeoui, ajoutée le 25/09

Fiches et avis

NVD pour CVE-2026-87902, cve.org pour CVE-2026-87902

Ce qu'on sait de l'exploitation

La vulnérabilité CVE-2026-87902 figure au catalogue KEV de la CISA, qui recense les failles exploitées, depuis le 25 septembre 2026. L’agence a fixé au 28 septembre 2026 l’échéance de remédiation pour les organismes fédéraux américains. Le catalogue indique que l’usage par des rançongiciels est inconnu.

À faire, dans l'ordre

1. Relever la version de WordPress de chaque site que vous gérez

2. Mettre à jour vers la version corrigée de la branche utilisée, par exemple 6.6.9, 6.5.12 ou 6.4.12

3. Pour une branche plus ancienne, installer sa version corrigée (4.7.37 pour la plus ancienne listée) ou passer à une branche maintenue

4. Suivre les mesures de l’éditeur et les consignes de la CISA, qui demandent aussi un triage forensique des équipements exposés