標籤: WordPress

PHP 緊急修補兩個重大漏洞｜未登入也可能遠端執行程式碼

PHP 於 2026 年 10 月 21 日緊急修補兩個 CVSS 9.2 分重大漏洞，未登入的攻擊者可能遠端執行程式碼，PHP-FPM、Apache mod_php 等網站環境都需要盤點。本文整理 CVE-2026-109618 與 CVE-2026-109619 的原理、四個修補版本，以及 WordPress 站長、虛擬主機與容器部署的更新確認方式，說明 Linux 套件回補如何判讀，也交代關閉上傳進度功能及調整記憶體限制為何只能減少部分風險，協助確認實際提供服務的 PHP 是否完成修補。

WordPress 核心漏洞 CVE-2026-87902｜8.1 分風險、影響版本與修補教學

WordPress 核心漏洞 CVE-2026-87902 可讓未登入的攻擊者載入佈景主題目錄之外的本地 PHP 檔案，在特定環境下進一步遠端執行程式碼。常見的 8.1 分來自 CVSS 3.1，官方公告另列 CVSS 4.0 的 9.2 分，兩者不是不同漏洞。WordPress 7.1.2 已完成修補，舊分支也有對應更新。本文整理受影響條件、各分支修補版本、後台與 WP-CLI 更新方式，以及已出現攻擊活動後應檢查的紀錄，說明為什麼更新外掛、修改登入網址或只開啟防火牆都不能代替核心修補。