WordPress виправив критичний обхід шляху з оцінкою 9.2, що веде до виконання коду

22 вересня 2026 року WordPress опублікував критичне повідомлення про безпеку щодо обходу шляху (path traversal) у розв'язанні шаблонів сторінок — вразливість, яку за певних умов на сервері та в активній темі можна довести до віддаленого виконання коду. Оцінка за CVSS становить 9.2, а вразливість відповідально розкрив дослідник безпеки Robert Ressl.

Що робить вразливість

Згідно з повідомленням, неавтентифікований зловмисник може змусити get_page_template() — функцію, якою WordPress визначає, який файл шаблону рендерить сторінку — підключити обраний читабельний локальний .php-файл поза каталогами активної теми. Оскільки підключений файл виконується як PHP, за потрібних передумов обхід шляху перетворюється на віддалене виконання коду.

Дві передумови

Повідомлення називає дві вимоги. По-перше, активна дочірня або батьківська тема має містити каталог верхнього рівня, назва якого починається з "page-", наприклад "page-templates". Це стосується застарілих тем Twenty Twelve і Twenty Fourteen, а також популярних сторонніх тем, зокрема Neve, Hestia і Sydney.

По-друге, на сервері має існувати відповідний локальний .php-файл, читабельний для облікового запису вебсервера. Для цього працює відомий шлях pearcmd.php — перехід від PEAR до виконання коду — коли register_argc_argv увімкнено (On). Це стосується офіційного образу php для Docker і типової конфігурації cPanel, якщо використовується версія PHP, давніша за 8.5.

Уражені версії та виправлення

Вразливість охоплює WordPress від 4.7.0 до 7.1.1. Виправлення містить WordPress 7.1.2, а з поваги до користувачів старіших гілок патч перенесли на всі гілки аж до 4.7, тож кожна підтримувана лінія має власну виправлену версію. Операторам, які не можуть оновитися негайно, варто принаймні перевірити, чи має їхня тема каталог із назвою, що починається з "page-", і чи не розкриває їхня конфігурація PHP параметр register_argc_argv.