重點整理
- WordPress 核心爆出嚴重漏洞，未登入駭客也能發動攻擊。
- 漏洞評分高達 9.2，受影響版本包含最新發布的 7.1.1。
- 官方已發布修復版本，目前無其他替代方案，必須立即更新。
- 可透過檢查主題資料夾與 PHP 設定，評估網站的實際風險。
許多中小企業的官網都是使用 WordPress 建置，但您知道嗎？WordPress 核心程式最近爆出了一個嚴重漏洞。如果不盡快處理，駭客甚至不需要帳號密碼，就能對您的網站發動攻擊，甚至在某些情況下控制您的伺服器。這篇文章將帶您了解這次漏洞的影響範圍、如何評估風險，以及您現在立刻該採取的行動，確保您的企業官網安全無虞。
WordPress 爆發嚴重漏洞，沒登入也能被攻擊？
WordPress 官方在 2026 年 9 月 22 日發布更新，修復了核心程式中的嚴重漏洞（編號 CVE-2026-87902）。此漏洞的 CVSS 評分（評估資安漏洞嚴重程度的分數，滿分 10 分）高達 9.2，屬最高危險等級。
危險之處在於，攻擊者不需要帳號密碼，也不需要管理員操作，就能讓網站載入不該載入的 PHP 檔案（開發動態網站的程式語言檔案）。在某些伺服器環境下，這會讓駭客進一步執行惡意程式碼。漏洞成因是 WordPress 選擇頁面模板時，未檢查「目錄遍歷」（Directory Traversal，駭客利用特定字元跳出限制資料夾，存取不該存取的檔案）的風險。
你的網站受影響嗎？該更新到哪個版本？
從 4.7.0 到 7.1.1 的所有版本都受影響。請注意，這包含 9 月 17 日才發布的 7.1.1 版，若您的網站不到一週前才更新過，這次仍需再更新。
官方已將修復程式回溯到所有仍在支援的舊版本。請根據您目前的版本分支，更新到對應的安全版本：
- 7.1.x 系列，請更新到 7.1.2
- 7.0.x 系列，請更新到 7.0.6
- 6.9.x 系列，請更新到 6.9.9
- 6.8.x 系列，請更新到 6.8.10
- 6.7.x 系列，請更新到 6.7.9
- 6.6.x 系列，請更新到 6.6.9
若不確定風險高低，資安廠商 Patchstack 提供兩個檢查方向：第一，檢查目前主題的頂層資料夾，是否有以 page- 開頭的資料夾；第二，檢查伺服器的 PHP 設定中，register_argc_argv 是否開啟（PHP 8.5 預設關閉，舊版預設開啟）。這能幫助您了解網站距離最壞情況有多近。
現在該怎麼辦？唯一解法就是「更新」
針對此漏洞，WordPress 官方沒有提供任何替代解決方案，唯一的修復方法就是更新到上述的安全版本。
若網站有開啟自動背景更新，系統會自動升級。若無，請登入後台在「更新」頁面手動升級，或至官方網站下載最新版本。
截至 9 月 22 日，官方尚未收到此漏洞被用於實際攻擊的報告，也沒有公開的攻擊程式碼流出。儘管如此，資安防護講求防患於未然，盡快更新才是保護企業資產的最佳策略。
崴米的建議
面對資安漏洞，中小企業主常擔心：「自己更新會不會把網站弄壞？」或「不知道目前網站的版本狀態」。從顧問角度，我們給您以下建議：
- 專業評估與代為更新：版本更新有時會遇到外掛不相容或版型跑版問題。若不熟悉後台操作，建議交由專業團隊協助。我們可以幫您處理 WordPress 修改與客製，在安全環境下測試並完成更新，確保網站正常運作。
- 建立長期的維護機制：資安威脅日新月異，單靠事後補救不夠。建議讓網站有專人定期照顧，第一時間收到通知並防護。透過網站代管維護與主機監看服務，我們能為您監控主機、處理備份，並第一時間協助完成重要更新，讓您專注本業。
參考來源：WordPress Issues Patch for Critical Flaw That Can Enable Code Execution on Some Servers
