--- title: WordPress 爆出 9.2 分严重安全漏洞｜CVE-2026-87902 date: 2026-09-23T03:38:33Z modified: 2026-09-23T05:39:25Z permalink: "https://www.appinn.com/wordpress-cve-2026-87902-critical-vulnerability/" type: post status: publish excerpt: "" categories: - Windows - 业界消息 tags: - Windows - 业界消息 - 安全 - 安全漏洞 - 漏洞 featured_image: "https://www.appinn.com/wp-content/uploads/2026/09/Copy-of-appinn-homework-2026-09-23T111244.810.jpg" author: 青小蛙 timestamp: 2026-09-23T05:39:25Z --- 2026年9月23日，WordPress 爆出 9.2 分的严重安全漏洞，攻击者无需登录即可在服务器上运行代码。漏洞编号 CVE-2026-87902，请务必升级至最新版本 7.1.2。@Appinn ![](https://www.appinn.com/wp-content/uploads/2026/09/Copy-of-appinn-homework-2026-09-23T111244.810.jpg) 根据 W3Techs 2026 年 9 月 22 日的最新统计，全球约 **40.2% 的网站都在使用 WordPress**，作为对比，排名第二的 Shopify 只有 7.8%，Wix 为 6.2%。 **WordPress 依旧是互联网的扛把子**、老大哥。 ## **CVE-2026-87902** ![](https://www.appinn.com/wp-content/uploads/2026/09/screenshot-2026-09-23-at-10.50.46-AM-2x.avif) ### 漏洞原理 这个漏洞出现在 WordPress 查找“页面模板”的过程中。 正常情况下，WordPress 只应该从当前主题目录中寻找页面模板。但在受影响版本中，攻击者可以构造特殊请求，让模板路径跳出主题目录，也就是典型的路径遍历。 这样一来，WordPress 就有可能把服务器上其他位置的某个 .php 文件，当成页面模板加载并执行。 不过，还需要同时满足两个条件： 1. 当前启用的主题或父主题中，存在一个名称以 page- 开头的顶级目录，例如常见的 page-templates。 2. 服务器上还存在一个 Web 服务进程能够读取、并且可以被利用的本地 PHP 文件。 官方特别提到了一个典型场景：某些服务器中存在 pearcmd.php，同时 PHP 的 register\_argc\_argv 处于开启状态时，这条路径可能进一步被利用，最终让攻击者执行任意 PHP 代码。 **整个过程不要求攻击者登录 WordPress，也不需要管理员或普通用户进行任何点击操作。** ### 受影响的范围 受影响的主题包括老版本的 Twenty Twelve、Twenty Fourteen，以及部分第三方主题，例如 **Neve、Hestia 和 Sydney**。另外，WordPress 特别提到，官方 PHP Docker 镜像，以及使用 PHP 8.5 之前版本的默认 cPanel 配置，可能满足相关服务器条件。 影响范围非常大，从 **WordPress 4.7 一直到 7.1.1** 的多个分支都包含这个问题： | 受影响版本 | 已修复补版本 | | --- | --- | | 7.1.0 – 7.1.1 | **7.1.2** | | 7.0.0 – 7.0.5 | **7.0.6** | | 6.9.0 – 6.9.8 | **6.9.9** | | 6.8.0 – 6.8.9 | **6.8.10** | | 6.7.0 – 6.7.8 | **6.7.9** | | 6.6.0 – 6.6.8 | **6.6.9** | | 6.5.0 – 6.5.11 | **6.5.12** | | 6.4.0 – 6.4.11 | **6.4.12** | | 6.3.0 – 6.3.11 | **6.3.12** | | 6.2.0 – 6.2.12 | **6.2.13** | | 6.1.0 – 6.1.13 | **6.1.14** | | 6.0.0 – 6.0.15 | **6.0.16** | | 5.9.0 – 5.9.17 | **5.9.18** | | 5.8.0 – 5.8.16 | **5.8.17** | | 5.7.0 – 5.7.18 | **5.7.19** | | 5.6.0 – 5.6.20 | **5.6.21** | | 5.5.0 – 5.5.21 | **5.5.22** | | 5.4.0 – 5.4.22 | **5.4.23** | | 5.3.0 – 5.3.24 | **5.3.25** | | 5.2.0 – 5.2.27 | **5.2.28** | | 5.1.0 – 5.1.25 | **5.1.26** | | 5.0.0 – 5.0.28 | **5.0.29** | | 4.9.0 – 4.9.32 | **4.9.33** | | 4.8.0 – 4.8.31 | **4.8.32** | | 4.7.0 – 4.7.36 | **4.7.37** | 建议开启 WordPress 的自动更新功能。 --- 原文：[https://www.appinn.com/wordpress-cve-2026-87902-critical-vulnerability/](https://www.appinn.com/wordpress-cve-2026-87902-critical-vulnerability.md) 虽然漏洞利用需要额外条件，但这是一个无需登录即可尝试攻击、成功后可能获得服务器代码执行能力的问题，没必要等。 ## Topics **分类目录:** [Windows](https://www.appinn.com/category/windows/?output_format=md), [业界消息](https://www.appinn.com/category/it-news/?output_format=md) **标签:** [安全](https://www.appinn.com/tag/%e5%ae%89%e5%85%a8/?output_format=md), [安全漏洞](https://www.appinn.com/tag/%e5%ae%89%e5%85%a8%e6%bc%8f%e6%b4%9e/?output_format=md), [漏洞](https://www.appinn.com/tag/%e6%bc%8f%e6%b4%9e/?output_format=md)