WordPress mengeluarkan 7.1.2 pada 22 September 2026, dan pengumumannya menerangkan keluaran itu dalam satu ayat: keluaran keselamatan yang membawa pembaikan bagi kelemahan keselamatan berketerukan kritikal. Nasihat GitHub yang berkaitan ialah GHSA-7hp8-65ch-5whp, pepijat itu ialah CVE-2026-87902, dan skor CVSS v4-nya 9.2. Tiga hari kemudian, pada 25 September, agensi AS CISA menambahkannya ke dalam katalog kelemahan yang diketahui dieksploitasi "berdasarkan bukti eksploitasi aktif", dan memberi agensi persekutuan tempoh sehingga 28 September untuk menanganinya.

Apakah Pepijat Ini, dan Bilakah Ia Membawa kepada Pelaksanaan Kod

Menurut huraian rasmi, penyerang yang tidak disahkan boleh, dalam keadaan tertentu, membuatkan proses penentuan templat halaman memuatkan fail PHP tempatan boleh baca yang dipilih oleh penyerang, yang terletak di luar direktori tema aktif; jika prasyarat dipenuhi pada persekitaran pelayan dan tema aktif, ini boleh membawa kepada pelaksanaan kod jarak jauh. Nasihat itu menyenaraikan dua jenis prasyarat:

  • Tema: tema anak atau tema induk yang aktif mengandungi direktori peringkat atas yang namanya bermula dengan page- (contohnya page-templates). Nasihat itu menamakan tema lama Twenty Twelve dan Twenty Fourteen serta tema pihak ketiga yang popular seperti Neve, Hestia dan Sydney.
  • Pelayan: wujud fail PHP tempatan yang boleh dieksploitasi dan boleh dibaca oleh akaun pelayan web. Contoh yang diberikan ialah pearcmd.php, yang boleh digunakan untuk melaksanakan kod apabila register_argc_argv ditetapkan kepada On. Nasihat itu menyatakan bahawa imej Docker php rasmi terjejas, begitu juga konfigurasi cPanel lalai apabila PHP sebelum 8.5 digunakan.

Versi yang Terjejas dan Versi yang Dibaiki

Setiap cabang dari 4.7.0 hingga 7.1.1 terjejas. Pembaikan telah di-backport ke semua cabang yang masih menerima pembaikan keselamatan: 7.1.2, 7.0.6, 6.9.9 dan seterusnya hingga 4.7.37. Apa pun versi utama yang anda gunakan, ada keluaran yang telah dibaiki; yang penting ialah memastikan ia benar-benar dipasang.

Dua Lagi Keluaran Keselamatan Sebelum dan Selepas

Ini bukan kejadian tunggal. 7.1.1 pada 17 September membawa 11 pembaikan keselamatan, dan 7.1.3 pada 6 Oktober membaiki 7 lagi isu keselamatan. Ketiga-tiga pengumuman menyatakan bahawa tapak yang menyokong kemas kini automatik di latar belakang akan mula dikemas kini secara automatik. Namun pada pelayan yang anda urus sendiri, kemas kini automatik boleh dimatikan oleh kebenaran fail atau konfigurasi, jadi jangan anggap tapak anda sudah dikemas kini.

Cara Menyemak pada VPS

  • Semak versi: Papan Pemuka → Kemas Kini, atau jalankan wp core version dengan WP-CLI pada pelayan. Jika anda di bawah keluaran yang dibaiki bagi cabang anda (pada cabang 7.1, di bawah 7.1.2), kemas kini sekarang; memandangkan 7.1.3 sudah keluar, terus naik ke 7.1.3 pada cabang 7.1 menjimatkan satu langkah.
  • Semak direktori tema: di bawah wp-content/themes/, periksa akar tema aktif (dan tema induknya) untuk direktori yang namanya bermula dengan page-.
  • Semak PHP: pastikan nilai register_argc_argv dalam PHP yang benar-benar digunakan oleh tapak (FPM atau modul Apache, bukan baris arahan), dan sama ada pearcmd.php yang tidak diperlukan wujud pada pelayan. Jika tapak anda berjalan pada imej Docker php rasmi, semak perkara ini terutamanya.
  • Jika anda mengesyaki eksploitasi: tapak yang hanya dikemas kini selepas 22 September wajar melalui senarai semak selepas pencerobohan, untuk mencari fail PHP, tugas berjadual dan akaun pentadbir yang tidak dikenali.

Untuk asas menjalankan WordPress, lihat membina tapak WordPress pada VPS; buat sandaran dahulu menggunakan strategi sandaran VPS; dan pada masa yang sama, semak semula tembok api ufw dan log masuk SSH berasaskan kunci.