CVSS 9.2的条件性RCE：两个前置条件决定杀伤力
2026年9月22日，WordPress开发团队在GitHub发布安全公告GHSA-7hp8-65ch-5whp，披露一个等级为Critical、CVSS v4总分9.2的严重漏洞。公告指出，未授权攻击者可以让get_page_template函数的页面模板解析过程，包含位于活动主题目录之外且可被Web服务器账户读取的本地PHP文件；当服务器环境与活动主题两方面都满足特定前置条件时，这可以导致远程代码执行。漏洞由安全研究者Robert Ressl发现并负责任披露。
两个前置条件决定了该漏洞的实际杀伤面。第一，活动主题的子主题或父主题必须包含一个以page-开头的顶层目录，例如常见的page-templates目录，公告点名旧版官方主题Twenty Twelve与Twenty Fourteen受此影响，Neve、Hestia、Sydney等热门第三方主题同样在列。第二，服务器上需要存在一个可被Web服务器账户读取的PHP目标文件；公告特别指出，当register_argc_argv配置为开启时，攻击者可以利用广为人知的pearcmd.php实现从PEAR到RCE的过渡，而官方PHP Docker镜像受此影响，PHP 8.5之前版本的cPanel默认配置同样受影响。
修复已回移至4.7：升级窗口不能拖
受影响范围极广是这起事件的另一特点。公告列出的受影响版本覆盖WordPress 7.1.0至7.1.1、7.0.0至7.0.5，一路向下延伸到4.7.0至4.7.36，几乎涵盖当前仍在运行的绝大多数版本。WordPress 7.1.2已包含修复程序，作为对旧版本用户的礼遇，该修复被回移到4.7以来的全部分支，从4.7.37、4.8.32、4.9.33一直到7.0.6、6.9.9、6.8.10等对应修复版本均已发布。
CVSS v4的评分细节解释了9.2高分的来源：攻击向量为网络，攻击复杂度低，无需任何权限，无需用户交互，而对受影响系统的机密性、完整性与可用性影响均为高。简言之，在满足前置条件的服务器上，未认证的远程攻击者即可获取对系统的完整控制。对运营者而言，这意味着除升级WordPress核心之外，还应同步检查主题目录结构是否以page-开头、PHP配置中register_argc_argv是否开启，以及服务器上是否存在可被Web进程读取的多余PHP文件。
这起漏洞在Hacker News上获得167个点赞。讨论中有开发者指出，漏洞的条件性特征容易被误读为风险有限，实际上官方Docker镜像与cPanel默认配置这两个极其常见的部署环境正好满足利用条件，pearcmd.php的利用路径在安全社区已被反复讨论多年。也有评论认为，页面模板解析接受用户可控路径本身就是应当被剔除的遗留设计，此次修复来得并不算早。
从修复节奏看，WordPress核心团队已形成新版本修复加全分支回移的惯例，这次一次性发布跨越二十多个分支的修复版本，协调成本不低。由于漏洞无需认证即可触发，互联网上暴露的站点只要主题结构满足条件，就可能被自动化扫描器批量命中，安全研究者普遍建议站点运营者把这次升级排在最高优先级。