WordPress 7.1.2 corregge una RCE critica: da aggiornare subito

WordPress ha rilasciato il 22 settembre 2026 la versione 7.1.2, un aggiornamento di sicurezza che chiude una vulnerabilità critica di path traversal non autenticato. Per chi tiene in produzione istanze WordPress su hosting condiviso o VPS, è un patch da applicare subito, non da mettere in coda.

Cosa corregge la 7.1.2

La falla, tracciata come CVE-2026-87902, riguarda la funzione get_page_template() usata nella risoluzione dei template di pagina. Un attaccante può far sì che get_page_template() includa un file PHP locale leggibile scelto a piacere, al di fuori delle directory del tema attivo; l'esecuzione di codice remoto diventa possibile quando sono presenti ulteriori prerequisiti di tema e server. Il punteggio assegnato è CVSS v4.0 9.2, critico.

Una delle catene di exploit documentate passa per PEAR: l'attaccante usa /usr/local/lib/php/pearcmd.php, e WordPress segnala che questo percorso di escalation può funzionare quando register_argc_argv=On, anche negli ambienti Docker ufficiali di PHP interessati.

Chi è esposto

Non tutte le installazioni sono ugualmente a rischio. Risultano maggiormente esposti i server che usano l'immagine Docker ufficiale di PHP, le configurazioni cPanel predefinite con PHP precedente alla 8.5, e i temi con una directory di primo livello il cui nome inizia per "page-". Tra i temi citati figurano Twenty Twelve, Twenty Fourteen, Neve, Hestia, Sydney.

Sul fronte delle versioni coperte, il bug riguarda WordPress dalla 4.7.0 alla 7.1.1 su tutti i rami mantenuti corrispondenti, e WordPress ha pubblicato release patchate fino al ramo 4.7. Per chi non può ancora salire alla 7.1, è disponibile il backport sul proprio ramo minore.

Il contesto: la release 7.1 "Mary Lou"

La 7.1.2 arriva un mese dopo la major release. WordPress 7.1 "Mary Lou" è stato rilasciato durante WordCamp US 2026, dedicato alla pianista jazz Mary Lou Williams, con stili responsive, editing dei media lato browser, note con menzioni, barra di amministrazione persistente e nuovi blocchi. Sui requisiti infrastrutturali, il CMS dichiara ufficialmente il supporto da PHP 7.4 in su, ma di fatto resta operativo anche su versioni più datate finché il server le eroga.

Cosa fare

Verificare la versione attiva da bacheca, aggiornare a 7.1.2 (o al corrispondente minor patchato sul proprio ramo), controllare se il tema in uso ha una cartella che inizia per "page-" e, se gira su cPanel, verificare la versione PHP installata. Un backup completo prima dell'update resta comunque la prassi minima.