WordPress 核心漏洞 CVE-2026-87902：修補當天就有人開打，你的官網更新了嗎

發生了什麼

• 9 月 22 日：WordPress 發布修補版本，公告一個核心程式的漏洞（CVE-2026-87902，CVSS 9.2），攻擊者在特定條件下不需登入就能在網站主機上執行程式。同一天就有資安公司記錄到第一次攻擊嘗試。
• 9 月 23 日起：攻擊嘗試持續增加，有人在被攻破的網站上放後門程式。
• 9 月 25 日：美國 CISA 把它列入「已知遭利用漏洞」清單，要求聯邦機構三天內修補。

這次跟平常「某個外掛有漏洞」不一樣，是 WordPress 本體。不管你裝了什麼外掛，只要是 WordPress 就要看。

跟我有關嗎

有 WordPress 官網就有關。好消息是：攻擊要成功需要兩個條件同時成立，不是每個站都符合；壞消息是：你不會知道自己符不符合，而更新只要 30 秒。

該怎麼做

1. 看版本。 登入後台，右下角或「控制台 → 更新」會顯示版本。要是 7.1.2、7.0.6、6.9.9、6.8.10 或更新。

2. 不是的話，按更新。 WordPress 後台一個按鈕就能更新核心。更新前先讓廠商或主機商備份一次——這是標準動作，不是因為這次特別危險。

3. 自動更新沒跑，要查原因。 WordPress 預設會自動套用安全更新。如果你的站停在舊版，代表自動更新被關了、或主機環境擋住了它。這個問題比這次漏洞更該處理，因為下次還會發生。

4. 問廠商一句話。 「我們的 WordPress 現在幾版？自動更新有開嗎？」得到版本號和「有」才算完。

為什麼這類事會一直發生

WordPress 撐起全球超過四成的網站，是攻擊者最划算的目標：找到一個漏洞，等於拿到幾千萬個網站的鑰匙。這不會改變，所以「做完就不管」的 WordPress 官網，每年都會輪到幾次這種時刻。

與其每次緊張，不如把兩件事變成固定的：自動更新開著、有人每個月看一眼後台。 做到這兩件，大部分的 WordPress 資安新聞你都可以跳過。

參考資料

• The Hacker News：Attackers Exploit WordPress CVE-2026-87902 Within Hours of Disclosure
• SecurityWeek：Critical WordPress Vulnerability Exploited Immediately After Disclosure
• 新加坡 CSA 警示 AL-2026-128

版本號與時間以 2026 年 9 月 26 日各方公告為準。