KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-87902 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
WordPress 是一款开源内容管理系统。2026年9月22日披露路径遍历漏洞。远程攻击者无需登录，即可在页面模板解析过程中使服务端包含当前主题目录以外、Web 账户可读的本地 PHP 文件。如果当前主题存在名称以 page- 开头的顶层目录，且服务器上存在可被利用的本地 PHP 文件时，可进一步导致远程代码执行。
受影响版本：4.7.0 至 7.1.1，对应修复版本已回移植至 4.7 及之后各受支持分支。
影响范围
应用：wordpress wordpress（影响面 Up to (excluding) 4.7.37）
应用：wordpress wordpress（影响面 Up to (excluding) 4.8.32）
应用：wordpress wordpress（影响面 Up to (excluding) 4.9.33）
应用：wordpress wordpress（影响面 Up to (excluding) 5.0.29）
应用：wordpress wordpress（影响面 Up to (excluding) 5.1.26）
应用：wordpress wordpress（影响面 Up to (excluding) 5.2.28）
应用：wordpress wordpress（影响面 Up to (excluding) 5.3.25）
应用：wordpress wordpress（影响面 Up to (excluding) 5.4.23）
……另有 17 项受影响环境，详见官方公告
解决方案
1、升级至 7.1.2，或当前分支对应的修复版本。
2、利用安全组设置其仅对可信地址开放。
参考信息
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-87902
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。