文章总结： WordPress核心存在未授权路径遍历漏洞CVE-2026-87902，可致条件性远程代码执行，影响多个版本分支，CVSS评分8.1高危，POC已公开。攻击者可利用漏洞执行任意代码，导致网站被控制或数据泄露。建议立即升级至官方修复版本，并关注官方安全公告。 综合评分： 82 文章分类： 漏洞分析,漏洞预警,应急响应

【已复现】漏洞通告 | WordPress未授权路径遍历致条件性RCE漏洞(CVE-2026-87902)

安全实验室 安全实验室

中成信息

2026年9月23日 14:40 福建

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

1

漏洞描述

CVE-2026-87902是WordPress核心中的未认证路径遍历与本地文件包含漏洞，存在于页面模板解析功能中。攻击者可通过构造特殊请求，利用路径遍历漏洞加载主题目录之外的本地PHP文件，若服务器环境满足条件（如存在可读的PEAR组件文件且PHP配置允许），可进一步实现远程代码执行。

2

影响范围

WordPress 7.1 分支 < 7.1.2

WordPress 7.0 分支 < 7.0.6

WordPress 6.9 分支 < 6.9.9

WordPress 6.8 分支 < 6.8.10

WordPress 6.7 分支 < 6.7.9

WordPress 6.6 分支 < 6.6.9

WordPress 6.5 分支 < 6.5.12

WordPress 6.4 分支 < 6.4.12

WordPress 6.3 分支 < 6.3.12

WordPress 6.2 分支 < 6.2.13

WordPress 6.1 分支 < 6.1.14

WordPress 6.0 分支 < 6.0.16

WordPress 5.9 分支 < 5.9.18

WordPress 5.8 分支 < 5.8.17

WordPress 5.7 分支 < 5.7.19

WordPress 5.6 分支 < 5.6.21

WordPress 5.5 分支 < 5.5.22

WordPress 5.4 分支 < 5.4.23

WordPress 5.3 分支 < 5.3.25

WordPress 5.2 分支 < 5.2.28

WordPress 5.1 分支 < 5.1.26

WordPress 5.0 分支 < 5.0.29

WordPress 4.9 分支 < 4.9.33

WordPress 4.8 分支 < 4.8.32

WordPress 4.7 分支 < 4.7.37

3

漏洞详情

| | | | | | — | — | — | — | | 漏洞详情 | | | | | 漏洞编号 | CVE-2026-87902 | | | | 漏洞名称 | WordPress 未授权路径遍历致条件性 RCE 漏洞 | | | | 评级 | 高危 | CVSS 3.1分数 | 8.1 | | 威胁类型 | 路径遍历 本地文件包含 | 利用情况 | 更可能被利用 | | 公开状态 | POC、EXP已公开 | 在野利用 | 未发现 | | 危害描述：未经身份验证的攻击者可利用该漏洞在服务器上执行任意代码，可能导致网站被完全控制、数据泄露或服务中断。 | | | | | 参考链接: https://github.com/ressl/cve-2026-87902-poc https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp | | | |

4

漏洞复现

中成信息安全实验室已复现WordPress 未授权路径遍历致条件性 RCE 漏洞，验证如下。

5

修复建议

立即升级WordPress版本

将WordPress核心升级至官方修复版本，具体如下：

WordPress 7.1分支升级至7.1.2

WordPress 7.0分支升级至7.0.6

WordPress 6.9分支升级至6.9.9

WordPress 6.8分支升级至6.8.10

WordPress 6.7分支升级至6.7.9

WordPress 6.6分支升级至6.6.9

WordPress 6.5分支升级至6.5.12

WordPress 6.4分支升级至6.4.12

WordPress 6.3分支升级至6.3.12

WordPress 6.2分支升级至6.2.13

WordPress 6.1分支升级至6.1.14

WordPress 6.0分支升级至6.0.16

WordPress 5.9分支升级至5.9.18

WordPress 5.8分支升级至5.8.17

WordPress 5.7分支升级至5.7.19

WordPress 5.6分支升级至5.6.21

WordPress 5.5分支升级至5.5.22

WordPress 5.4分支升级至5.4.23

WordPress 5.3分支升级至5.3.25

WordPress 5.2分支升级至5.2.28

WordPress 5.1分支升级至5.1.26

WordPress 5.0分支升级至5.0.29

WordPress 4.9分支升级至4.9.33

WordPress 4.8分支升级至4.8.32

WordPress 4.7分支升级至4.7.37

关于我们

漳州中成信息科技有限公司是一家专注于网络安全实战防护的创新型服务提供商。我们深刻理解网络安全的核心在于攻防对抗的持续较量，并以此独特视角为基石，致力于为客户构建动态、主动、智能化的纵深防御体系。区别于传统的被动防御，我们坚信“未知攻，焉知防”。公司汇聚了顶尖的渗透测试专家（红队）、应急处置精英（蓝队）及经验丰富的安全服务工程师，形成了一支具备完整攻防对抗能力的专业团队。我们的渗透测试团队模拟真实攻击者的思维与手段，深入挖掘系统、应用及网络中的深层次漏洞与风险点；应急处置团队则能在安全事件发生时快速响应、精准定位、有效遏制损失并溯源根因；安服工程师团队则致力于将攻防对抗中获得的宝贵经验转化为常态化的安全策略、加固措施与运营流程。

点击名片

关注我们

扫描官网二维码

了解更多

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：中成信息 安全实验室 安全实验室《【已复现】漏洞通告 | WordPress未授权路径遍历致条件性RCE漏洞(CVE-2026-87902)》