攻击者正在积极利用 WordPress 中的一个关键路径遍历漏洞，从而接管网站，国家网络安全中心 (NCSC) 报告称。现已提供更新以解决此问题 (CVE-2026-87902)，NCSC 呼吁管理员立即安装该更新。通过该安全漏洞，未经身份验证的攻击者可以在 WordPress 网站的 web 服务器上执行任意代码。
该安全漏洞允许未经身份验证的攻击者通过 WordPress 加载一个位于活动主题文件夹之外的本地 PHP 文件。“在某些与活动主题和服务器配置相关的条件下，该漏洞可能导致在服务器上执行任意代码。因此，恶意用户可能获得对敏感数据的访问、进行更改或进一步控制受影响的 WordPress 安装，”NCSC 解释道。
“这可能导致数据泄露或将网站用于恶意目的等问题。目前已经发生了利用该漏洞的攻击，”该政府机构进一步警告。该漏洞已在 WordPress 版本 7.1.2 中得到修复。根据 W3Techs 的数据，超过 40% 的互联网网站都在使用 WordPress。