WordPress 未认证路径穿越漏洞可致条件 RCE，多版本需升级至 7.1.2

2026 年 9 月 22 日，WordPress 项目发布 CVE-2026-87902 安全公告，披露一处无需登录即可触发的页面模板解析路径穿越漏洞。仍运行受影响核心版本的站长和运维人员应尽快核查并安排升级，但不应把公告提到的“可能导致远程代码执行”理解为所有站点都会遭到代码执行。

已确认的漏洞行为与版本范围

根据 WordPress 项目安全公告及 CVE 记录，未认证攻击者可利用 get_page_template() 的模板解析过程，使站点包含活动主题目录之外、服务器本地可读取的指定 .php 文件。这是公告确认的路径穿越行为；文件需要在目标服务器上存在且可被读取，并非攻击者能任意读取远程文件。

公告列出的受影响版本跨越多个分支，从 6.0.0 起延续至 7.1.1；已列明的较新分支包括 6.7.0—6.7.8、6.8.0—6.8.9、6.9.0—6.9.8、7.0.0—7.0.5 和 7.1.0—7.1.1。官方修复版本为 7.1.2。站点若使用更早的 6.x 分支，不宜仅凭上述较新分支的列举判断自身不受影响，应以公告中的完整版本清单和实际安装版本为准。

路径穿越不等于必然执行任意代码

CVE 记录对后果作了明确限定：只有服务器与活动主题各自满足相关前置条件时，本地 .php 文件被包含才可能进一步导致远程代码执行。现有公告摘录没有给出可用于判定每一种部署组合的完整条件，因此不能仅凭 WordPress 版本、主题名称，或一次可疑请求，就断言某站点已经具备远程代码执行条件。

风险处置仍应从核心版本入手：无需登录这一触发条件意味着公开访问的站点可能暴露于探测之下；而主题和服务器配置会影响后果，不能作为推迟修复的理由。排查时应把“运行受影响版本”“出现可疑请求”和“确认被利用”分别记录，避免将探测流量直接等同于入侵证据。

站点应如何处置

1. 核对版本。 在站点后台或既有资产清单中确认 WordPress 核心版本，同时盘点同一服务器上的其他 WordPress 实例。受影响站点应将升级至 7.1.2 列为优先维护事项。
2. 先备份再升级。 保留数据库、站点文件及当前主题和插件配置的可用备份；升级后检查前台页面、页面模板和关键后台功能。若出现兼容问题，按既定回滚方案恢复并继续安排修复，不应长期停留在受影响版本。
3. 复核日志与文件。 检查升级前后的 Web 访问日志，关注针对页面模板选择功能的异常参数、目录跳转形式的请求及集中探测来源；结合文件变更记录核查异常 .php 文件。日志中的可疑请求只能提供调查线索，是否发生文件包含或代码执行仍需进一步取证。

对无法立即升级的站点，管理者应记录原因、缩短处理窗口，并保留日志以便复核。升级完成后，也应验证实际运行版本，而不只依据升级任务显示“成功”。