WordPress opravil kritickou chybu ve jádru svého softwaru, která umožňuje útočníkovi bez účtu přimět web, aby načítal soubor PHP mimo adresář šablony. Na některých serverech to může jít ještě dál a útočníkovi umožnit spustit vlastní kód. Oprava byla vydána 22. září ve verzi WordPress 7.1.2 a všech dalších větvích, které projekt stále podporuje – tedy až zpět k verzi 4.7.

WordPress tuto chybu klasifikuje jako kritickou, přiřazuje jí skóre CVSS 9,2 a přiděluje jí identifikátor CVE-2026–87902. Problém se týká všech verzí od 4.7.0 až po 7.1.1 a k jeho zneužití není třeba žádný účet ani žádná akce ze strany přihlášeného uživatele.

Chyba spočívá ve způsobu, jakým WordPress vybírá šablonu pro stránku. Jeden z názvů souborů, které generuje, pochází z části webové adresy. Ve zranitelných verzích neproběhne kontrola na procházení adresáře ../. Pokud šablona obsahuje adresář začínající na page-, může útočník spustit kód mimo obvyklý prostor.