CVE-2026-87902 是 WordPress 核心中的一個嚴重漏洞，目前已被攻擊者在真實網絡攻擊中積極利用。
近日，熱門內容管理系統 WordPress 被發現存在一個嚴重漏洞，攻擊者可利用該漏洞在網站伺服器上執行任意程式碼。此漏洞編號為 CVE-2026-87902。好消息是，WordPress 已於 2026 年 9 月 22 日 發布修補更新；但值得注意的是，漏洞修補程式發布後僅數小時，便已發現有人嘗試利用 CVE-2026-87902 發動攻擊。因此，所有使用 WordPress 架設企業網站或網誌的公司，均應立即進行更新。
受 CVE-2026-87902 影響的 WordPress 版本
根據 WordPress 在 GitHub 發布的資料，4.7.0 至 7.1.1 版本均受到此漏洞影響。WordPress 已為所有仍受支援的版本分支推出修補更新，完整的修補版本列表可於 WordPress 官方 GitHub 資訊中查閱。使用最新版本的企業，應將 WordPress 更新至 7.1.2 或以上版本。
CVE-2026-87902 是甚麼漏洞？為何如此危險？
在正常情況下，WordPress 只會從目前啟用的佈景主題內指定資料夾載入 PHP 模板檔案。然而，受 CVE-2026-87902 影響時，攻擊者可構造特製請求，誘使 WordPress 載入任意 PHP 檔案，而且不需要進行身份驗證。
雖然相關檔案必須以某種方式預先存在於目標伺服器上，但這項條件對攻擊者而言並不一定構成重大障礙。此漏洞本質上涉及路徑遍歷及本地檔案包含問題，而在特定 WordPress 及 PHP 伺服器配置下，攻擊者更可進一步執行任意程式碼，因此普遍被歸類為遠端程式碼執行（RCE）漏洞。
如何保障網站安全不受CVE-2026-87902影響？
保障企業 WordPress 網站的首要措施，是立即安裝最新版本的安全更新。發現此漏洞的研究人員亦提出了多項強化內容管理系統安全性的建議，但這些措施只能作為修補程式的補充，不能取代正式更新。
此外，安全研究報告列出了一些曾在利用 CVE-2026-87902 的攻擊中出現的 PHP 檔案名稱及 IP 位址。企業可將這些資料納入威脅獵捕及事件調查工作，協助判斷 WordPress 網站是否可能已遭入侵。
由於漏洞公開與攻擊者開始利用漏洞之間，可能只有短短數小時，企業必須部署配置妥善及集中管理的漏洞管理系統。理想的漏洞管理方案應能夠識別及追蹤漏洞，按照實際風險進行優先排序，並自動化修補及改善流程，讓企業能夠更快應對新出現的網絡安全威脅。
建議受影響網站擁有者立即採取以下行動：
- 將 WordPress 更新至 7.1.2 或其他對應的修補版本；
- 檢查所有外掛程式、佈景主題及相關元件是否已更新；
- 檢視網站伺服器日誌，搜尋可疑請求及異常檔案；
- 對網站進行入侵跡象及惡意檔案檢查；以及
- 透過集中式漏洞管理方案持續監察及修補安全風險。
