WordPress核心漏洞遭利用列入CISA清單　未登入即可讀入PHP檔、特定條件可遠端執行

WordPress 核心漏洞 CVE-2026-87902 已遭實際利用，美國網路安全暨基礎設施安全局（CISA）9月25日將它列入已遭利用漏洞清單，要求聯邦機關在9月28日前完成修補。WordPress 已在9月22日發布修補與安全公告。

這個漏洞出在 WordPress 解析頁面範本的 get_page_template() 函式。根據發現者 Robert Ressl 的說明，經過編碼的路徑跳脫字元能躲過前期過濾，之後被解碼成有效路徑；WordPress 雖會檢查檔案是否可讀、類型是否正確，卻沒有確認檔案位在允許的佈景目錄內，導致未登入的前台請求可以讀入伺服器上其他 PHP 檔案。CVSS v4.0 評分為9.2分，也有來源依 CVSS v3 評為8.1分。

要進一步做到遠端執行程式碼，需要特定條件，例如可匿名存取的頁面、佈景根目錄中有特定的 page- 目錄，以及伺服器上有可讀取的 PEAR 元件 pearcmd.php 並啟用 register_argc_argv 等；PEAR 並非 WordPress 的相依元件。研究者在實驗室中以兩個匿名請求示範成功，程式以網頁伺服器帳號權限執行。

修補版本方面，7.1 版本線為7.1.2、7.0 版本線為7.0.6，官方修補也已向後移植到4.7版本線，各舊版本的確切修補版號可參考 GitHub 安全公告 GHSA-7hp8-65ch-5whp。香港中文大學資訊科技服務處建議網站立即更新至最新版本。

網站管理者該做的事

• 立即將 WordPress 更新到所在版本線的最新修補版，並確認自動更新確實完成
• 網頁請求不需要時，關閉 PHP 的 register_argc_argv 設定
• 移除網頁可讀取、但沒有用到的 PEAR 進入點
• 限制 PHP 執行帳號對檔案系統的讀寫權限

相關報導：PHP重大漏洞「PHP2Shell」風險升高　ALION推出緊急資安修補服務

資料來源

• Robert Ressl：CVE-2026-87902: Critical WordPress file inclusion and conditional RCE
• 香港中文大學資訊科技服務處：WordPress 漏洞安全警示
• CISA 已遭利用漏洞清單（KEV）

本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合企業公告、主管機關資訊及國內外媒體報導整理，資訊更新至2026年10月24日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。