CVE-2026-87902 у WordPress: як перевірити та захистити сайт

У WordPress виявлено критичну вразливість CVE-2026-87902. 22 вересня 2026 року команда WordPress випустила термінове оновлення безпеки та рекомендувала власникам сайтів встановити його якомога швидше.

Проблема заслуговує на увагу не лише розробників. Якщо бізнес-сайт працює на WordPress, варто перевірити його версію, резервні копії, активну тему та стан оновлень. У певних конфігураціях CVE-2026-87902 може дозволити неавторизованому користувачу змусити WordPress підключити локальний PHP-файл за межами каталогу активної теми.

Це не означає, що кожен сайт на WordPress можна автоматично зламати. Для повного сценарію атаки мають збігтися додаткові умови на рівні теми та серверного середовища. Але ризик достатньо серйозний, щоб не відкладати перевірку.

Що таке CVE-2026-87902

CVE-2026-87902 стосується механізму, який WordPress використовує для визначення шаблону сторінки. За певних умов спеціально сформований запит може вплинути на шлях до PHP-файлу, який система намагається завантажити.

Ключовий момент — атака не обов'язково потребує входу до адміністративної панелі. Саме тому вразливість отримала високий рівень небезпеки.

Якщо одночасно виконуються необхідні умови у темі WordPress та конфігурації сервера, локальне підключення файлу може перейти у значно серйозніший сценарій — виконання стороннього PHP-коду.

Які версії WordPress потрібно перевірити

Виправлення для актуальної гілки WordPress з'явилося у версії 7.1.2. Команда WordPress також почала випускати виправлення для старіших гілок, які ще отримують security-backport.

Тому орієнтуватися лише на цифру «7.1.2» не завжди правильно. Якщо сайт працює на старішій гілці WordPress, потрібно перевірити, чи встановлена остання доступна security-версія саме для неї.

Найбезпечніший підхід: використовувати актуальну підтримувану версію WordPress, якщо немає технічних причин залишатися на старій.

Як швидко перевірити свій сайт

Почніть з адміністративної панелі WordPress:

відкрийте розділ Консоль → Оновлення;
перевірте поточну версію WordPress;
подивіться, чи доступне системне оновлення;
перевірте оновлення активної теми;
перегляньте список плагінів, які давно не оновлювалися.

Якщо автоматичні оновлення ядра увімкнені, виправлення могло встановитися самостійно. Але краще не припускати, а перевірити фактичну версію.

Не оновлюйте сайт без резервної копії

Критичне оновлення безпеки потрібно встановлювати швидко, але поспіх не повинен створити іншу проблему.

Перед оновленням бажано мати актуальну резервну копію:

файлів WordPress;
бази даних;
активної теми;
важливих конфігураційних файлів.

Особливо обережно потрібно працювати із сайтами, де використовується кастомна тема, WooCommerce, нестандартні інтеграції або давно не оновлювалися плагіни.

У таких випадках просте натискання кнопки «Оновити все» може закрити одну проблему, але одночасно спричинити конфлікт сумісності.

Чому одного оновлення WordPress може бути недостатньо

Після встановлення виправлення варто перевірити не лише номер версії.

Безпека WordPress складається з кількох рівнів:

ядро WordPress;
активна тема;
плагіни;
PHP та конфігурація сервера;
права доступу до файлів;
резервне копіювання;
журнали подій і помилок;
захист адміністративної панелі.

Наприклад, сайт може мати актуальне ядро WordPress, але одночасно використовувати покинутий плагін або стару тему з власними проблемами безпеки.

Саме тому ми в WebManna Studio розглядаємо оновлення як частину технічного обслуговування, а не як окрему кнопку в адмінці.

Що перевірити після оновлення

Після встановлення security-релізу варто пройти коротку перевірку сайту.

Відкрити основні сторінки. Перевірити головну, сторінки послуг, форми та важливі посадкові сторінки.
Перевірити мобільну версію. Іноді конфлікти після оновлень проявляються лише на окремих шаблонах або пристроях.
Перевірити форми. Тестова заявка повинна коректно відправлятися та доходити до потрібного каналу.
Переглянути помилки. Якщо є доступ до серверних логів, варто перевірити нові PHP-помилки та незвичні запити.
Перевірити адмінкористувачів. У списку не повинно бути невідомих облікових записів із правами адміністратора.
Перевірити файли сайту. Особливу увагу варто звернути на неочікувані PHP-файли та нещодавно змінені файли в системних каталогах.

Що робити, якщо WordPress давно не оновлювався

Якщо між поточною та актуальною версією WordPress накопичилося багато релізів, оновлювати production-сайт без підготовки ризиковано.

Спочатку потрібно оцінити:

версію PHP;
сумісність теми;
сумісність ключових плагінів;
стан WooCommerce, якщо він використовується;
власні правки у темі або плагінах;
можливість швидкого відновлення сайту з резервної копії.

Для старих проєктів безпечніше спочатку протестувати оновлення на копії сайту, а вже після перевірки переносити зміни на основний сайт.

Чи потрібно панікувати через CVE-2026-87902

Ні. Але ігнорувати повідомлення теж не варто.

Вразливість не означає, що кожен WordPress-сайт уже скомпрометований. Для найбільш небезпечного сценарію потрібна певна конфігурація активної теми та серверного середовища.

Практична реакція набагато простіша:

перевірити версію WordPress;
зробити резервну копію;
встановити актуальне security-оновлення;
перевірити роботу сайту після оновлення;
за потреби провести додатковий аудит.

Як WebManna Studio може допомогти

Якщо сайт є частиною бізнесу, його оновлення краще розглядати не окремо, а разом зі станом усієї системи.

У межах технічної підтримки сайту можна перевірити версію WordPress, тему, плагіни, резервні копії, сумісність оновлень та базові ознаки проблем із безпекою.

Якщо сайт давно не обслуговувався, має застарілу тему або потребує більшого технічного оновлення, варто також переглянути послуги WebManna Studio та визначити, що дійсно потрібно зробити зараз, а що можна запланувати окремим етапом.

Головне

CVE-2026-87902 — не причина вимикати сайт або поспіхом змінювати CMS. Це причина перевірити, чи підтримується ваш WordPress у нормальному технічному стані.

Якщо сайт працює на WordPress, перевірте версію сьогодні. Для актуальної гілки виправлення вразливості входить до WordPress 7.1.2. Для старіших гілок потрібно встановити відповідний security-backport або перейти на актуальну підтримувану версію.

Регулярне оновлення ядра, тем і плагінів, резервне копіювання та контроль змін — значно надійніша стратегія, ніж реагувати лише тоді, коли з'являється чергова критична CVE.