先說結論：維運 WordPress 網站者應核對 CVE-2026-87902 的核心修補版本，即使目前使用的佈景主題不符合可利用條件，也不應長期停留在受影響版。WordPress 維護團隊九月二十二日公告，頁面範本解析的路徑遍歷可能讓未登入者載入伺服器上非預期的 PHP 檔案；只有再符合佈景主題與伺服器環境條件，才可能發展為遠端程式執行。CISA 九月二十五日納入已知遭利用目錄。本文於十月四日重新查核兩個官方來源，不將所有網站等同已被入侵。
背景與前因：WordPress 的頁面範本決定特定內容如何呈現，通常由正在使用的佈景主題提供。核心程式負責在允許的目錄與檔案間選取範本；一旦路徑檢查出現漏洞，就可能碰到原本不應被當成範本處理的檔案。這次公告由 WordPress 專案的官方程式庫安全頁發布，列出受影響與已修補分支。CISA 隨後收錄 CVE，表示有已知利用證據，但 KEV 不記錄每個使用者的實際事件。對站長而言，版本號、佈景主題及 PHP 設定需要分開核對，不能只依單一掃描器分數宣布安全或失陷。
原因與前置條件：原廠把問題定位於頁面範本路徑解析不當。路徑遍歷是輸入跳出原本允許的檔案範圍；在這裡可能導致可讀取的本機 PHP 檔案被當成範本納入。原廠特別說明，遠端程式執行還需要啟用中的母或子佈景主題具備特定頂層目錄，並且伺服器上存在可被網站服務帳號讀取、適合利用的本機檔案與設定。這些額外條件不能省略，否則會把條件式結果誤寫成任何未更新站台都可直接執行程式。公開文章不展示路徑、參數或測試指令。
影響範圍：WordPress 官方列出 7.1.0 至 7.1.1 等多條舊分支受影響，修補版包括 7.1.2、7.0.6、6.9.9，以及一路回補到 4.7 分支的對應版本。它也列舉部分舊版及第三方佈景主題可能滿足前提，並指出伺服器環境仍會影響是否能發展為程式執行。不同網站可能啟用不同佈景主題與 PHP 執行方式，不可僅因某個範例名稱出現在公告就推定本地已受害。管理者應從核心後台或可信命令與部署紀錄讀取真正運行版，別把擴充套件版本或快取顯示的版本當成核心版本。
這個事件至少有兩個需要分開閱讀的官方時間點。WordPress Core Team 在 2026-09-22 公開與 CVE-2026-87902 相關的產品資訊；CISA 於 2026-09-25 將同一編號收錄於已知遭利用漏洞目錄。後者又稱 KEV，是政府用來標示已有利用證據、應提高處置優先級的公開清單。收錄日期不等於漏洞首次出現，也不會替任何單一單位證明資產已被攻破。本文在 2026-10-04 重新取得兩份來源，將原始事件與本次查核日期分開標示。
風險判斷應回到具體產品與部署條件。官方只說明特定佈景主題與伺服器前提下可能導致遠端程式執行，沒有證明每個使用 WordPress 的網站都符合條件或已遭入侵。即使漏洞已列入 KEV，也不能把全球的利用證據直接寫成讀者所在環境的事件報告；相反地，沒有看到本地告警同樣不足以保證從未有人嘗試存取。應先確認自己是否真正使用 使用受影響核心版本及特定佈景主題、伺服器條件的 WordPress 網站，再把版本、可達性、服務角色和可用的紀錄放在同一個判斷框架內，避免只憑產品名稱或嚴重度分數作結論。
你可以怎麼做：先盤點正式、測試與備援站的核心版本、啟用中佈景主題及更新來源，按 WordPress 官方已修補清單安排升級。更新前備份檔案與資料庫並確認可回復；更新後從實際站點讀回核心版本，測試首頁、文章、登入與關鍵範本。若監控發現非預期檔案變更或異常管理員操作，應先保存網站、網頁伺服器、PHP 及身分驗證紀錄，再由授權人員調查。封鎖某種請求或切換佈景主題可能暫時降低風險，但不能取代核心安全更新。對停止支援的環境應另訂遷移期限。
盤點時可以把每一個WordPress 站點寫成可追蹤的一列：產品與型號、目前版本、部署位置、管理責任人、對外或對內的可達性、資料最後確認時間，以及是否另有備援、測試或長期離線的副本。集中管理平台的清單可能漏掉尚未回報的設備，資產標籤也可能與實際運行版本不同；因此重要節點應由現場或受信任的管理介面再核對。把例外與期限記在同一份紀錄，比口頭說『都已檢查』更能支援後續複查。
修補完成的判斷不能只停在工單或下載紀錄。安排核心安全版本更新之前，先按既有維運程序保存必要設定、確認支援與相容性，並準備回復方案；完成後從實際提供服務的節點讀取版本或修補狀態，測試最重要的正常工作流程。若同一服務有多個節點，應逐一驗證，避免流量切換後又落回未更新的副本。原廠日後可能更改修補路徑，本文記錄的是本次查核時可取得的官方資訊，更新工作仍應以最新公告為準。
事件應變和版本更新雖然相關，卻不是同一個檢查。版本落後足以支持儘快修補，未必證明曾遭利用；完成更新降低後續暴露，也不能倒推過去絕無異常。若既有監控出現可疑跡象，應保存原始日誌、時間線及必要的組態差異，交由有權限的資安或維運人員依組織流程判讀。公開文章不應包含任何真實憑證、個資、內部位址或可操作的利用步驟，以免在通報風險時增加新的暴露。
這項事件最容易出現兩種相反誤讀：一種是把條件式遠端執行寫成所有 WordPress 都可直接遭利用；另一種是因為目前沒有符合範例的佈景主題，便忽略核心仍需更新。原廠把修補回補到許多舊分支，意味著只看主版本是否最新並不夠，必須對照各自分支的固定版。若網站同時跑容器、副本或多個站點，應逐一確認發佈中的程式與快取狀態。CISA KEV 的收錄提高處置優先級，但單一站點是否真的被觸及，仍須依本地紀錄與調查判定。
仍須由使用單位自行回答的問題是：目前有多少WordPress 站點、哪些仍在受影響版本、核心安全版本更新是否覆蓋正式與備援環境，以及保留的紀錄能否支持事件調查。WordPress Core Team 與 CISA 的公開資料提供產品界線和優先處置訊號，卻不能替每個現場完成資產盤點。若無法取得相應修補或環境已停止安全支援，應向供應商確認替代方案並記錄風險處置，不把臨時隔離措施描述成漏洞已經修復。
這篇補刊聚焦 CVE-2026-87902，原廠事件日期為 2026-09-22，CISA KEV 收錄日為 2026-09-25，兩個官方來源在 2026-10-04 重新查核。可交付的工作是確認 使用受影響核心版本及特定佈景主題、伺服器條件的 WordPress 網站 的實際部署範圍、按原廠指引完成核心安全版本更新、回讀結果並追蹤例外。公開公告支持修補優先級，並不等於任一特定讀者已遭入侵或資料外洩；最終影響仍須由現場證據和專業調查判定。
官方來源：
- Unauthenticated path traversal in page-template resolution leading to conditional RCE（WordPress Core Team）
- Known Exploited Vulnerabilities Catalog — CVE-2026-87902（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。