严重CVSS8.12026-09-26
CVE-2026-87902 — WordPress 核心未认证文件包含（有条件的远程代码执行）：解读与修复
WordPress 核心 4.7–7.1.1 中的未认证本地文件包含（CWE-98），在主题与服务器条件同时满足时导致远程代码执行。9 月 22 日修复（7.1.2 及回溯至 4.7 的所有分支）；CISA 于 9 月 25 日将其加入 KEV。本站观点：一旦进入 KEV，3% 的 EPSS 就不重要了。请立即更新，并关闭 PHP 的 register_argc_argv，以消除远程代码执行所需的服务器端条件。