Alertă pentru milioane de site-uri WordPress: hackerii exploatează o vulnerabilitate critică și pot executa comenzi pe servere. Actualizarea care trebuie instalată urgent

Un site care funcționează aparent normal poate deveni ținta unui atac informatic fără ca administratorul să observe imediat ce se întâmplă. În cazul platformei WordPress, folosită de numeroase publicații online, magazine și companii, o vulnerabilitate de securitate recent descoperită a început deja să fie exploatată de hackeri. Atacatorii nu se mai limitează la identificarea site-urilor vulnerabile, ci încearcă să plaseze fișiere periculoase pe serverele acestora, care pot permite executarea unor comenzi de la distanță. Potrivit BleepingComputer , activitatea malițioasă a crescut de zece ori într-un interval foarte scurt, după publicarea actualizării care remediază problema.

Vulnerabilitatea, identificată prin codul CVE-2026-87902, a primit un scor de severitate de 9,2 din 10 și afectează anumite instalări WordPress care nu au fost actualizate. Problema este cu atât mai importantă cu cât, în condiții specifice, atacatorii pot încerca să o exploateze fără să dețină un cont sau o parolă de administrator. Echipa de securitate WordPress a lansat versiunea 7.1.2 pentru remedierea vulnerabilității, iar specialiștii avertizează că simpla instalare a actualizării ar putea să nu fie suficientă pentru site-urile care au fost deja compromise.

Cum funcționează vulnerabilitatea WordPress și ce pot face hackerii

Problema de securitate a fost descoperită de cercetătorul Robert Ressl și afectează mecanismul prin care WordPress identifică și încarcă șabloanele utilizate pentru afișarea paginilor. În anumite condiții, un atacator poate manipula acest proces pentru a determina platforma să încarce un fișier PHP aflat în afara directoarelor obișnuite ale temei active. Vulnerabilitatea este de tip „path traversal”, iar exploatarea sa poate conduce la includerea unor fișiere locale și, în anumite configurații, la executarea de cod de la distanță, cunoscută sub denumirea RCE.

Pentru ca atacul să permită executarea efectivă a unor comenzi, trebuie îndeplinite anumite condiții tehnice. Tema activă trebuie să conțină un director al cărui nume începe cu „page-”, iar pe server trebuie să existe un fișier PHP adecvat, accesibil procesului care deservește site-ul. Printre temele care pot îndeplini prima condiție se numără Twenty Twelve, Twenty Fourteen, Neve, Hestia și Sydney. Specialiștii avertizează că anumite configurații PHP utilizate în Docker și cPanel pot îndeplini și condițiile necesare pentru executarea de cod.

Vezi și:

După câte ore de la ultimul pahar te poți urca la volan. Cât timp rămâne alcoolul în sânge și în aerul expirat

Atacurile au început la mai puțin de cinci ore după lansarea actualizării

Compania de securitate cibernetică Patchstack a observat primele încercări de exploatare pe 22 septembrie 2026, la ora 17:44 UTC, la mai puțin de cinci ore după publicarea actualizării WordPress 7.1.2. Inițial, atacatorii au încercat să determine dacă site-urile vizate erau vulnerabile, fără să instaleze efectiv cod malițios. Aceștia au trimis solicitări special construite pentru a verifica dacă pot manipula procesul de încărcare a fișierelor.

Situația s-a agravat pe 23 septembrie, când cercetătorii au constatat că traficul asociat vulnerabilității crescuse de aproximativ zece ori. Atacatorii au trecut de la simple teste la încercări de scriere a unor fișiere pe serverele vizate. Unele dintre fișiere conțineau doar marcaje care confirmau posibilitatea exploatării, însă altele includeau instrucțiuni care permiteau executarea unor comenzi la accesarea lor.

Fișierele suspecte au fost identificate în directoare temporare ale serverelor, precum /tmp și /var/tmp. Cercetătorii au observat denumiri precum wp-pear-rce-flag.php și poc87902.php, alături de alte fișiere cu nume generate parțial aleatoriu. Prezența acestora poate reprezenta un indiciu al unei tentative de exploatare, însă nu demonstrează singură că un atacator a obținut controlul asupra întregului server.

Vezi și:

Mii de sisteme inteligente de refrigerare sunt expuse pe internet. Ce avertizează Kaspersky

Atacul asupra tehnologiei operaționale: cum poate o parolă slabă opri apa, căldura sau producția unei fabrici?

Acest incident readuce în atenție riscurile la care sunt expuse site-urile care nu primesc actualizări de securitate. În august 2026, aproape 2.000 de site-uri WordPress compromise au fost identificate într-o campanie de distribuire a programelor malware . În acea situație, atacatorii foloseau paginile infectate inclusiv pentru a distribui verificări CAPTCHA false, care puteau determina vizitatorii să execute comenzi periculoase pe propriile calculatoare.

Ce versiuni WordPress sunt afectate și cum îți poți proteja site-ul

Vulnerabilitatea CVE-2026-87902 afectează versiunile WordPress cuprinse între 4.7.0 și 7.1.1, cu excepția edițiilor care au primit deja corecțiile de securitate. Echipa WordPress a publicat versiunea 7.1.2 pe 22 septembrie și a pregătit actualizări pentru ramurile mai vechi, până la versiunea 4.7. Printre edițiile corectate se numără 7.0.6, 6.9.9, 6.8.10 și 4.7.37. Versiunile mai vechi de 4.7 nu beneficiază de această remediere.

Dacă administrezi un site WordPress, verifică versiunea instalată și accesează secțiunea „Actualizări” din panoul de administrare. Instalează WordPress 7.1.2 sau ultima ediție de securitate disponibilă pentru ramura pe care o utilizezi. Înainte de actualizare, realizează o copie de siguranță a fișierelor și bazei de date și verifică dacă tema și pluginurile folosite sunt compatibile cu noua versiune. Nu amâna instalarea corecției doar pentru că site-ul pare să funcționeze normal.

În cazul în care site-ul a rulat o versiune vulnerabilă după 22 septembrie, verifică și jurnalele de acces ale serverului pentru identificarea unor solicitări suspecte. Patchstack recomandă analizarea cererilor neobișnuite asociate parametrului pagename, iar administratorii pot verifica inclusiv existența unor fișiere PHP necunoscute sau modificate recent. Compania a identificat mai multe adrese IP implicate în încercările de exploatare, însă blocarea acestora nu înlocuiește actualizarea platformei, deoarece atacurile pot proveni și din alte surse.

Dacă identifici indicii că site-ul a fost compromis, solicită o analiză de securitate înainte de a considera incidentul rezolvat. Actualizarea închide vulnerabilitatea, dar nu elimină automat eventualele fișiere malițioase instalate anterior și nici modificările efectuate de atacatori.

Riscurile sunt relevante inclusiv pentru administratorii care folosesc cPanel, o platformă de administrare a găzduirii web care a fost vizată și de alte vulnerabilități critice . De aceea, protejarea unui site nu se limitează la actualizarea WordPress, ci presupune și întreținerea componentelor software ale serverului, verificarea drepturilor de acces și monitorizarea activității neobișnuite.

Se schimbă stimulentul de 1.000 de lei pentru copiii cu dizabilități din București. Cine va primi mai puțin din 2027