WordPress 7.1.2 推荐，9.2 分漏洞当前最要紧的一步是升级
全球四成网站的地基晃了一下。9 月 22 日 WordPress 官方发布 7.1.2 安全更新，修复编号 CVE-2026-87902 的严重漏洞，官方 GitHub 安全通告给出的 CVSS v4.0 评分 9.2，CISA 在 CVE 记录里给的 v3.1 评分是 8.1，两套分数并存，量级都是高危。更麻烦的是，补丁发布数小时内攻击流量就出现了。我把官方公告、GHSA 通告、安全厂商披露和社区讨论都过了一遍，这篇讲清楚漏洞是什么、怎么判断风险、怎么升级。
漏洞是什么
技术定性一句话就能说清，未认证的路径穿越，导致本地文件包含，特定条件下可达远程代码执行。攻击面在 pagename 查询参数，双重编码的穿越序列可以绕过模板查找的安全检查，让页面模板解析包含主题目录之外的 PHP 文件。触发 RCE 需要两个前置条件，主题存在以 page- 开头的顶级目录，服务器上有可读的 PHP 文件。官方点名的受影响主题包括自带的 Twenty Twelve、Twenty Fourteen，以及第三方的 Neve、Hestia、Sydney。PHP 官方 Docker 镜像与 PHP 8.5 之前默认 cPanel 配置里的 pearcmd.php 都是典型的可利用文件。
受影响版本覆盖面极大，CVE 记录写的是低于 7.1.2 的所有版本，官方把修复回移植到了 4.7 分支，将近十年的老站都在射程内。在野利用已有实锤，Patchstack 的遥测显示 7.1.2 发布当天 17 点 44 分出现首个恶意请求，三小时后增长十倍，BleepingComputer 随后报道攻击者已从探测升级到写入 webshell 执行命令。安全团队的建议很简单，把它当作正在被利用的漏洞处理。
怎么升级
官方给的两条路都很快。站点的后台仪表盘更新页点一下立即更新即可，多数站点本就开着安全更新的自动后台机制，这一个小版本会自己装上。不放心的走手动，官网下载 7.1.2 覆盖安装，官方文档强调手动更新时停用插件、别动 wp-content 目录、更新后清缓存。升级前照惯例做一次全站备份，这一步别省。
升级之外再补两个自查动作。查所用主题是否存在以 page- 开头的顶级目录，官方点名的四款主题尤其要确认。翻一翻上传目录与请求日志，找来路不明的 PHP 文件，文件名对得上安全报告里那串 IoC 的立即隔离处理。
解决了什么需求
WordPress 的体量决定了这类漏洞的公共属性。W3Techs 九月数据，全站占比 40.2%，CMS 内占比 58.8%，一次核心漏洞就是一场互联网级攻防演练。HN 讨论 236 分，运维的疲惫隔着屏幕都能看到。ErroneousBosh 说他时不时会给请求 wp 路径的客户端回一个 10TB 的压缩炸弹，扫描流量的烦人程度可见一斑。ASalazarMX 的视角更平和，足够复杂的系统必有漏洞，设计只能降低概率而非归零。vntok 的追问指向产品责任，目录穿越这种问题本不该出现在核心函数里。
时间线也值得记一笔。就在五天前 WordPress 刚发过 7.1.1，十七项核心修复加十一项安全修复，两次发布间隔之短说明这波安全问题来得密集。老站的管理员别嫌烦，连续点两次更新就是本周的全部工作量。
注意事项
三点提醒。版本分数的口径要分清，9.2 是 v4.0、8.1 是 v3.1，引用时别混。条件性 RCE 不等于无条件 RCE，但前置条件覆盖的主题与服务器配置很常见，别拿概率赌运气。用 Wordfence 防火墙的注意，虚拟补丁规则 9 月 22 日先发给付费用户，免费用户要等到 10 月 22 日，别把防火墙当挡箭牌。插件与主题的兼容这次官方未提不兼容警告，安全点版本通常无碍，生产站照旧先在预发环境过一遍。升级完成后顺手确认自动更新处于开启状态，下一个安全版本就能自己装上。
总结
一次教科书级的核心漏洞响应，从披露到全分支回移植只用了几小时，攻击与防御的速度都在刷新。站点主人的答案只有一个，今天就升到 7.1.2 或对应的回移植版本，顺手把主题目录与上传目录检查一遍。四成互联网的安全水位，是由每一个懒得点更新按钮的站长决定的。
来源
- WordPress 官方公告 https://wordpress.org/news/2026/09/wordpress-7-1-2-release/
- 官方 GHSA 安全通告 https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp
- CVE 官方记录 https://cveawg.mitre.org/api/cve/CVE-2026-87902
- 官方升级文档 https://wordpress.org/documentation/article/updating-wordpress/
- Wordfence 披露 https://www.wordfence.com/blog/2026/09/psa-critical-unauthenticated-path-traversal-vulnerability-patched-in-wordpress-core/
- Patchstack 披露 https://patchstack.com/articles/wordpress-7-1-2-security-release-unauthenticated-lfi-to-rce/
- BleepingComputer 在野利用报道 https://www.bleepingcomputer.com/news/security/hackers-start-exploiting-critical-wordpress-flaw-for-code-execution/
- W3Techs 市场份额 https://w3techs.com/technologies/details/cm-wordpress
- Hacker News 讨论 https://news.ycombinator.com/item?id=49803959