觀點 · 資訊分享
WordPress 核心 9.2 分漏洞已遭攻擊：4.7 以來的版本都受影響，CISA 列入清單
WordPress 核心的頁面範本漏洞 CVE-2026-87902 被 CISA 確認已遭實際利用，Cloudflare 同日推出緊急 WAF 規則。受影響範圍從 4.7.0 到 7.1.1，修正版是 7.1.2 與各分支的對應版本。
- 發布
- 2026-09-25
- 篇幅
- 約 4 分鐘 · 1,894 字
- 結構
- 7 節 + 4 題常見問題
- 標籤
一句話看懂：WordPress 核心有個 9.2 分的漏洞已經被拿來攻擊，從 4.7 版以來都受影響，所有 WordPress 網站都該馬上確認版本。
先用白話講：這個漏洞在做什麼？
WordPress 顯示一個頁面時，會先去「佈景主題」的資料夾裡找對應的版型檔，就像餐廳服務生依照桌號去廚房拿對的菜。
這次的漏洞是：攻擊者可以用特殊寫法的網址騙服務生，讓他跑出廚房，到別的房間拿一個不該拿的 PHP 檔來執行。如果主機上剛好有能被利用的檔案，攻擊者就能在你的伺服器上執行任意程式，也就是整台網站被接管。
發生什麼事
- 9 月 22 日：WordPress 發布 7.1.2 安全更新，修補這個「嚴重」等級的漏洞（CVE-2026-87902），並把修補回推到 4.7 以來所有分支
- 9 月 25 日：美國 CISA 把它列入「已知遭利用漏洞（KEV）」目錄，代表已確認有人實際拿來攻擊
- 同一天：Cloudflare 發布緊急 WAF 規則，在 Managed Ruleset 加入針對這個漏洞的偵測，預設動作是阻擋
GitHub 上的安全公告給了 CVSS 4.0 分數 9.2，而且不需要登入就能觸發。
哪些網站最危險
安全公告列出，要從「讀到檔案」變成「遠端執行程式」，需要條件同時成立：
- 使用中的佈景主題（含父主題）有一個名稱以
page-開頭的頂層資料夾。公告點名 Twenty Twelve、Twenty Fourteen，以及部分第三方主題（Neve、Hestia、Sydney） - 主機上有一個可被讀取、可拿來利用的 PHP 檔，例如
register_argc_argv開啟時的pearcmd.php
公告也指出，官方 PHP Docker 映像和 PHP 8.5 以前的 cPanel 預設設定都符合第 2 點。
給開發者的技術細節
修正版本對照（節錄）：
| 目前版本 | 更新到 |
|---|---|
| 7.1.0～7.1.1 | 7.1.2 |
| 7.0.0～7.0.5 | 7.0.6 |
| 6.9.0～6.9.8 | 6.9.9 |
| 6.8.0～6.8.9 | 6.8.10 |
| 4.7.0～4.7.36 | 4.7.37 |
總共有 25 個分支發了修補版。其他重點：
- 安全公告沒有列出替代的緩解方法，唯一的解法是更新
- 有開背景自動更新的網站會自動升級，但請自己到後台確認版本號
- Cloudflare 的 WAF 規則只是爭取時間，官方也建議同時套用 WordPress 修補
- 如果網站更新前就暴露在外，建議檢查有沒有陌生的管理員帳號、外掛或檔案
我的看法
這次的範圍大到很少見：從 4.7 一路到最新版都中。接案時很常遇到的情況，是客戶的 WordPress 架好之後沒人管，自動更新也被關掉，怕外掛不相容。這種網站現在就是最好的目標。
如果你手上有客戶的 WordPress，今天就逐一登入確認版本，尤其是用 Docker 官方 PHP 映像自架、或放在 cPanel 主機上的。用 Cloudflare 的人可以先確認 WAF 規則有生效，但別因為有 WAF 就把更新往後拖。
名詞小辭典
- 佈景主題（Theme）：決定 WordPress 網站外觀的那組版型檔案。
- 遠端執行程式（RCE）：攻擊者從網路上就能叫你的伺服器執行他寫的程式，是最嚴重的一類漏洞。
- WAF（網站應用程式防火牆）：擋在網站前面、過濾惡意請求的防火牆。
- CISA KEV：美國 CISA 維護的「已確認遭實際利用」漏洞清單。
資料來源
常見問題
我的網站有開自動更新，還要做什麼？
WordPress 說有開背景自動更新的網站會自動升級。建議還是到「控制台 > 更新」確認版本號是 7.1.2 或你所在分支的修補版（例如 6.9.9、6.8.10）。
什麼樣的網站最危險？
GitHub 安全公告列出遠端執行程式的條件：使用中的佈景主題有名稱以 page- 開頭的資料夾（例如 Twenty Twelve、Twenty Fourteen），而且主機上有可被讀取的 PHP 檔可利用，例如開啟 register_argc_argv 時的 pearcmd.php。官方 PHP Docker 映像與 PHP 8.5 以前的 cPanel 預設設定都符合。
有 Cloudflare 擋著就不用更新了嗎？
不行。WAF 只能擋已知的攻擊樣式，Cloudflare 自己也建議套用 WordPress 官方修補，才能完整保護主機。
我還在用很舊的 WordPress 5.x，有修補嗎？
有。這次修補回推到 4.7 以來的所有分支，例如 5.9.18、5.8.17。不過 WordPress 只主動支援最新版，還是建議升到 7.1.2。
接著讀
全部觀點 →Citrix NetScaler 一週內第二個已遭利用漏洞：上週剛修完的版本，這次還要再升一次CISA 把 Citrix NetScaler ADC 與 Gateway 的新漏洞 CVE-2026-88779 列入已遭利用清單，攻擊者不用登入就能讓設備停擺。修補版本比上週 CVE-2026-88771 的修補版還新，上週剛升級的人也要再升一次。閱讀 →客服系統 Zammad 兩個漏洞被列入「已遭利用」清單，但原廠說其中一個還無法確認美國 CISA 把開源客服工單系統 Zammad 的兩個漏洞列入已遭利用清單，兩者串起來可能從遠端一路拿到 root。原廠說第一個只影響已停止支援的 6.5 以前版本，第二個目前還無法確認範圍，建議先升到 7.2.0。閱讀 →FortiMail 郵件閘道 9.8 分漏洞已遭利用：不用登入就能寫檔，CISA 當天列入清單Fortinet 公布 FortiMail 重大漏洞 CVE-2026-104286，攻擊者不必登入，就能透過特製的網路請求在設備上寫入任意檔案，官方確認已遭實際利用。用 FortiMail 的單位要立刻升級或先關掉 IBE 功能。閱讀 →