Aller au contenu
Kreomnis.Vigie
CVE-2026-87902Critique10.0 KEV

WordPress Core — RCE via Remote File Inclusion (CVE-2026-87902) et versions associées (KEV ajoutées le 2026-09-25)

Publiée le 28/09/2026// Kreomnis Vigie
◆ Veille automatiséeIssue du bulletin du 28/09/2026 · fenêtre Récap du week-end, 25 – 27 septembre 2026sources croisées, relecture Kreomnis
Action recommandée

Appliquez immédiatement les correctifs WordPress Core et des extensions concernées; vérifiez les accès publics au CMS et durcissez les contrôles d’accès.

Mitigations et correctifs recommandés par l’éditeur; suivre BOD 26-04 et les préconisations CISA KEV
CVSS 3.1
10.0
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
EPSS : probabilité d'exploitation
-
Source : FIRST.org, modèle EPSS v3
Produits/versions affectés
  • WordPress Core
CISA KEV : exploitation observée

Cette vulnérabilité est inscrite au catalogue des vulnérabilités activement exploitées de la CISA. Traitement prioritaire recommandé.

Ajoutée au KEV le 25/09/2026 · échéance de remédiation fédérale : 28/09/2026

Le contexte

WordPress Core contient une vulnérabilité d’inclusion de fichier à distance permettant l’exécution de code à distance par un attaquant non authentifié. KEV a ajouté ce vecteur et des preuves d’exploitation ont été remontées. D’autres vulnérabilités associées à l’écosystème WordPress (extensions vulnérables) ont également été publiées pendant la période KEV.

Vecteur d'attaque

Exploitation via le cœur du CMS sur des requêtes réseau ciblées; nécessite patch ou mitigation selon l’éditeur.

Systèmes impactés

| Produit | Versions affectées | Versions corrigées | | --- | --- | --- | | WordPress Core | toutes les versions antérieures au correctif | Version corrigée par WordPress |

Non affecté : Aucune information d’exclusion spécifique fournie.

Statut du correctif : Mitigations et correctifs recommandés par l’éditeur; suivre BOD 26-04 et les préconisations CISA KEV

La vulnérabilité

CVE-2026-87902 : Remote Code Execution / Remote File Inclusion

WordPress Core · CVSS 10.0 · exploitation observée

WordPress Core contient une vulnérabilité de Remote File Inclusion pouvant permettre l’exécution de code à distance pour un attaquant non authentifié.

Impact : Exécution de code à distance sur le serveur Web

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Recommandations

  • Appliquez les correctifs WordPress Core et patches des extensions vulnérables.
  • Mettez en place une surveillance accrue des requêtes vers le CMS et restreignez les accès publics.
  • Effectuez un nettoyage et vérification des fichiers mêlés potentielles après patch.

Ce qu'il faut retenir

Appliquez immédiatement les correctifs WordPress Core et des extensions concernées; vérifiez les accès publics au CMS et durcissez les contrôles d’accès.

Analyse issue du bulletin de veille Kreomnis du 28 septembre 2026 (fenêtre : Récap du week-end, 25 – 27 septembre 2026). Sources croisées listées ci-dessous.

  • Kreomnis Vigie

Références

#wordpress#remote-code-execution#exploitee#kev