危急CVSS8.12026-09-26
CVE-2026-87902 — WordPress 核心未驗證檔案包含（條件式 RCE）：說明與修補
WordPress 核心 4.7–7.1.1 存在未驗證的本地檔案包含漏洞（CWE-98），當主題與伺服器條件同時成立時可導致 RCE。9 月 22 日修補（7.1.2 及回溯至 4.7 的所有分支）；CISA 於 9 月 25 日將其加入 KEV。本站觀點：一旦列入 KEV，EPSS 的 3% 就不重要了。請更新，並關閉 PHP 的 register_argc_argv，以移除 RCE 所需的伺服器端條件。