CríticoCVSS8.12026-09-26
CVE-2026-87902 — Inclusão de arquivo não autenticada no núcleo do WordPress (RCE condicional): explicação e correção
Inclusão de arquivo local não autenticada no núcleo do WordPress 4.7–7.1.1 (CWE-98), levando a RCE quando as condições do tema e do servidor se alinham. Corrigido em 22 de setembro (7.1.2 e todas as versões desde a 4.7); a CISA adicionou ao KEV em 25 de setembro. Visão deste site: um EPSS de 3% não importa depois que a falha está no KEV. Atualize e também desative o register_argc_argv do PHP para remover a condição do lado do servidor que o RCE exige.