شركة أمن WordPress قدمت معلومات عن الصلاحيات المطلوبة وإجراء التخفيف المؤقت.
يستغل مهاجمون ثغرات XSS مخزنة في إضافتي Ninja Forms وWPC Product Bundles for WooCommerce لزرع أبواب خلفية وإنشاء حسابات مسؤولين مخفية. يُنصح بالتحديث إلى الإصدارات 3.15.4 أو أحدث من Ninja Forms و8.6.7 أو أحدث من WPC Product Bundles، مع فحص المواقع التي قد تكون أُصيبت بالفعل.
بدأ مهاجمون باستغلال الثغرة CVE-2026-87902 في WordPress لكتابة ملفات PHP إلى القرص وتشغيل أوامر shell عند الوصول إليها، بعد ساعات من إصدار التصحيح. ينصح مسؤولو المواقع بالتحديث إلى الإصدار 7.1.2 ومراجعة السجلات فوراً.
كشف باحثون تفاصيل وثغرة CSRF في نواة WordPress تتيح، دون حاجة إلى حساب للمهاجم، إجبار موقع على تثبيت قالب وتشغيل شفرة PHP، شريطة أن يزور مسؤول مسجل الدخول رابطاً مُعداً خصيصاً. عالجت WordPress المشكلة في الإصدار 7.1.1، بينما أصبح الاستغلال التجريبي متاحاً علناً.