WordPress 在 2026 年 9 月 22 日發布 7.1.2，官方公告對它的定性只有一句：這是一次修復「嚴重（critical）級別安全漏洞」的安全版本。對應的 GitHub 安全公告是 GHSA-7hp8-65ch-5whp，漏洞編號 CVE-2026-87902，CVSS v4 評分 9.2。三天後的 9 月 25 日，美國 CISA 把它加入「已知被利用漏洞」目錄，依據是「有證據顯示正在被實際利用」，給聯邦機構的處置期限是 9 月 28 日。

漏洞是什麼，什麼條件下能執行程式碼

官方的描述是：未經身份驗證的攻擊者，在特定條件下可以讓頁面範本解析去包含目前佈景主題目錄之外、一個由攻擊者指定的本地可讀 PHP 檔案；如果伺服器環境和目前佈景主題的前提同時滿足，就能導致遠端程式碼執行。公告列出的前提有兩類：

  • 佈景主題條件：目前使用的子佈景主題或上層佈景主題裡，有一個名字以 page- 開頭的頂層目錄（例如 page-templates）。公告點名的有老的 Twenty Twelve、Twenty Fourteen，以及 Neve、Hestia、Sydney 等常用第三方佈景主題。
  • 伺服器條件：伺服器上存在一個 Web 帳戶可讀、可被利用的 PHP 檔案。公告舉的例子是 pearcmd.php：當 register_argc_argv 為 On 時可以借它執行程式碼。公告寫明官方 Docker php 映像受影響，使用 PHP 8.5 之前版本的預設 cPanel 設定也受影響。

受影響和已修復的版本

受影響範圍是 4.7.0 到 7.1.1 的各個分支。修復已向後移植到所有仍接收安全修復的分支：7.1.2、7.0.6、6.9.9……一直到 4.7.37。也就是說，不管你停在哪個主要版本，都有對應的修復版，關鍵是確認它真的裝上了。

前後還有兩次安全更新

這次不是孤立的一次。9 月 17 日的 7.1.1 帶了 11 個安全修復，10 月 6 日的 7.1.3 又修了 7 個安全問題。三份公告都寫著：支援後台自動更新的網站會自動開始更新。但在自己管理的伺服器上，自動更新可能因為檔案權限或設定被關掉，所以不要預設它已經更新過了。

在 VPS 上這樣檢查

  • 看版本：後台「控制台 → 更新」，或在伺服器上用 WP-CLI 執行 wp core version。低於你所在分支的修復版（例如 7.1 分支低於 7.1.2）就立即更新；7.1.3 已經發布，7.1 分支直接升到 7.1.3 更省事。
  • 看佈景主題目錄：在 wp-content/themes/ 下，檢查目前佈景主題（以及它的上層佈景主題）根目錄裡有沒有以 page- 開頭的目錄。
  • 看 PHP 設定：確認網站實際使用的 PHP（FPM 或 Apache 模組，不是命令列）裡 register_argc_argv 的取值，以及伺服器上有沒有用不到的 pearcmd.php。用官方 Docker php 映像跑站的尤其要查。
  • 懷疑已被利用：9 月 22 日之後才更新的網站，最好按 VPS 被入侵後的排查清單查一遍，看有沒有陌生的 PHP 檔案、排程工作和管理員帳號。

WordPress 的基礎架設見在 VPS 上架設 WordPress 網站；更新前先按 VPS 資料備份方案做一次備份；順手把 ufw 防火牆和 SSH 金鑰登入也檢查一遍。