這是一篇針對正在遭到主動利用（已列入 CISA KEV）漏洞的快速說明。內容涵蓋發生了什麼、哪些人受影響，以及如何因應，觀點站在防禦者的角度，不含重現步驟。
- CVE
- CVE-2026-87902（GHSA-7hp8-65ch-5whp）
- 嚴重性
- NVD：CVSS v3.1 8.1（攻擊複雜度高）／WordPress 公告：CVSS v4.0 9.2，Critical
- 類型
- 檔案包含（CWE-98）— 頁面範本解析中的路徑遍歷
- 影響
- 包含主題之外的 .php 檔案；主題與伺服器條件同時成立時可導致 RCE
- 前提條件
- 無需驗證，無需使用者互動
- 受影響版本
- WordPress 4.7.0–7.1.1
- 修補
- 7.1.2，於 2026 年 9 月 22 日發布，並回溯修補至 4.7 的所有分支
- 利用情況
- 已列入 CISA KEV（2026 年 9 月 25 日加入，修補期限為 9 月 28 日），被標註需要進行鑑識分流
等待的風險有多大？
WordPress 是使用最廣的內容管理系統，而此漏洞涵蓋約十年的發行版本，且無需驗證、無需使用者互動。一家專注於 WordPress 的資安公司表示，探測在修補發布當天就開始，隔天轉為程式碼執行嘗試，並被納入一般用途的掃描工具中。掃描是不分對象的，網站規模無關緊要。
這是哪一類漏洞？
WordPress 會在主題目錄中查找，以決定由哪個範本檔案來渲染頁面。根據安全公告，頁面範本解析存在一個缺口：未經驗證的攻擊者可以讓它包含使用中主題目錄之外的 .php 檔案。當外部輸入決定要載入哪個檔案時，即屬於檔案包含（CWE-98）。本站不說明其利用方式。
單獨來看，這本身並不是程式碼執行。安全公告將 RCE 的條件拆分為主題端與伺服器端兩部分。
主題端條件（依安全公告）
- 使用中的父主題或子主題，其頂層目錄的名稱以
page-開頭（例如page-templates） - 安全公告指出，這適用於舊有的 Twenty Twelve 與 Twenty Fourteen 主題，以及部分熱門第三方主題，例如 Neve、Hestia 與 Sydney（問題出在核心的處理方式，而非主題本身）
伺服器端條件（依安全公告）
- 伺服器上存在一個被包含時會產生危險行為的 .php 檔案，且該檔案可被網頁伺服器帳號讀取
- PHP 的
register_argc_argv為開啟狀態，會使此條件更容易達成 - 安全公告指出，官方 PHP Docker 映像以及 PHP 8.5 之前版本的預設 cPanel 設定均受影響
① 核心漏洞：主題之外的 .php 可被包含
→ 已在 7.1.2（及各分支的發行版本）修補
② 主題條件：目錄名稱以 page- 開頭
→ 網站管理者很難自行判斷；不要依賴自行判斷
③ 伺服器條件：存在危險的 .php 可被讀取，且 register_argc_argv 為開啟
→ 關閉此設定可防止整類攻擊
哪些版本受影響
| 分支 | 受影響 | 修補版本 |
|---|---|---|
| 7.1 | 7.1.0–7.1.1 | 7.1.2 |
| 7.0 | 7.0.0–7.0.5 | 7.0.6 |
| 6.9 | 6.9.0–6.9.8 | 6.9.9 |
| 6.8 | 6.8.0–6.8.9 | 6.8.10 |
| 6.7 至 4.7 | 直到各分支修補之前的版本 | 各分支的修補版本（6.7.9 … 4.7.37） |
| 4.7 之前 | — | 無修補（已停止支援） |
該怎麼做
確認版本並更新到修補後的發行版本（第一優先）
在儀表板中前往「儀表板 → 更新」並確認版本。如果不是 7.1.2（或你所屬分支的修補版本），請今天就更新。目前只有最新版本獲得主動支援，因此 7.1.2 是最安全的目標。
找出自動更新無法觸及的網站
在支援背景更新的網站上，更新會自行開始。風險在於那些不在此範圍內的網站：停用自動更新、在 Git 或容器映像中固定核心版本（若更新後重建映像，舊版本會在無預警的情況下被還原）、主機封鎖更新，以及沒有人記得的舊網站。如果你管理多個網站，請逐一檢查（資安盤點清單）。
關閉 PHP 的 register_argc_argv（縱深防禦）
提供網頁請求的 PHP 幾乎不需要此設定。在 php.ini（或你主機的 PHP 設定）中設定 register_argc_argv = Off；如果你在容器中執行，請檢查映像的設定。這不能取代更新，但它可切斷從檔案包含到程式碼執行的路徑，其效益遠超出這一個 CVE。
在更新前檢查是否已遭入侵
如果網站在 9 月 22 日之後仍未修補，請將這段時間視為可疑；CISA 也標註此 CVE 需要進行鑑識分流。至少請檢查：(1) /tmp、/var/tmp 或 wp-content 底下不明的 .php 檔案；(2) 存取紀錄中含有百分比編碼目錄遍歷（相當於 ../）的請求；(3) 你不認識的管理員帳號或最近新增的外掛。
若發現異常，不要只停在「已修補」
如果程式碼可能已被執行，修補無法移除已放置在伺服器上的檔案，也無法收回已被竊取的金鑰。請輪換資料庫密碼，以及 wp-config.php 中的驗證金鑰與鹽值、管理員密碼與第三方 API 金鑰，並移除可疑檔案。完整流程請參閱 漏洞修補手冊與 WordPress 安全。
本站觀點：修補一發布，攻擊隨即開始
在近期的 Adobe Commerce 案例中，從修補到列入 KEV 相隔 44 天。這次只有三天。差異在於修補差異內容揭露攻擊方式的難易程度，以及有多少網站使用該產品。依據所報導的時間線，與修補差異內容相似的探測在修補發布當天就開始了。
這個教訓是：對於廣泛使用的產品，修補並不會為你爭取額外時間。攻擊者在修補發布的那一刻就開始動作，而人工很難跟上。因此本站認為，確保自動更新可靠送達，比修補流程本身更為優先。收到自動更新的網站，在其管理者察覺之前就已受到保護。真正有風險的，是那些不知道自己不在自動更新範圍內的網站。
另外要注意的是，EPSS 為 3%。EPSS 有其用處，但對於剛公開的漏洞，它會落後。當 KEV 與 EPSS 不一致時，以 KEV 為準，因為它是已確認的事實。
資料來源
- WordPress — GHSA-7hp8-65ch-5whp（受影響與修補版本、RCE 前提條件、CVSS v4.0 9.2）
- WordPress.org — WordPress 7.1.2 發行公告（2026 年 9 月 22 日；回溯至 4.7、自動更新）
- NVD — CVE-2026-87902（CWE-98、CVSS v3.1 8.1）
- CISA KEV — 已知遭利用漏洞目錄（2026 年 9 月 25 日加入、9 月 28 日到期、需要鑑識分流）
- FIRST — EPSS（2026 年 9 月 25 日為 0.029）
- 觀察報告 — Patchstack（修補當天開始探測，隔天出現程式碼執行嘗試；本文僅採用時間線與防禦端檢查項目）