【已复现】CVE-2026-87902 WordPress 未授权路径遍历致条件性 RCE 漏洞

原创

源影网安
源影网安

源影安全团队

2026年9月23日 11:30
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

WordPress 是全球使用最广泛的开源建站系统，据 W3Techs 统计，目前互联网上超过四成的网站由 WordPress 驱动，从小型个人博客到大型企业官网、新闻门户都在它的覆盖范围内。它以“主题 + 插件”的生态著称，用户无需编写代码即可搭建和扩展站点，但也正因为装机量巨大、二次开发普遍，WordPress 核心的任何高危漏洞都会直接波及数百万站点。本次出问题的正是 WordPress 核心(而非某个第三方插件)的模板加载机制，由 WordPress 官方在 7.1.2 安全版本中修复，并罕见地向下回移植到 4.7 等历史分支——影响跨度长达九年的所有版本。

危害

该漏洞(CVE-2026-87902,CVSS 4.0 评分 9.2,Critical)存在于 WordPress 核心的页面模板解析函数中。攻击者无需任何账号和密码，向目标站点发送一个构造好的 GET 请求，即可让 WordPress 把主题目录之外的任意一个可读 PHP 文件当作页面模板加载执行(路径遍历导致的本地文件包含)。在满足利用条件的服务器上，攻击者可以进一步借助系统中自带的 PEAR 组件(pearcmd.php)将文件包含升级为以网站运行账户(www-data)权限执行任意命令，进而完全控制服务器。

前置条件

主题条件：站点当前启用的主题(或其父主题)目录下存在一个名字以 page- 开头的文件夹(如 page-templates/)。WordPress 自带的 Twenty Twelve、Twenty Fourteen 主题，以及 Neve、Hestia、Sydney 等多款装机量很大的第三方主题都自带这类目录，条件相当容易满足；

目标文件条件：服务器上存在攻击者可读、路径可猜的 PHP 文件。最典型的是 PEAR 组件的 pearcmd.php;

命令执行条件: PHP 配置项 register\_argc\_argv 为开启状态。官方 Docker 镜像因不加载配置文件而默认开启，PHP 8.5 之前版本的 cPanel 默认环境同样开启——这也是官方通告特别点名“官方 Docker 镜像与 cPanel 环境受影响”的原因。

已复现

参考链接

https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp