WordPress 7.1.2 发布，修复可导致远程代码执行的关键漏洞

此次安全更新修复了一个严重程度的安全漏洞。

由于这是一项安全更新，建议您立即更新您的网站。

您可以从 WordPress.org 下载 WordPress 7.1.2，也可以访问您的 WordPress 仪表板，点击“更新”，然后点击“立即更新”。如果您有支持自动后台更新的网站，更新过程将自动开始。

此次更新包含安全修复

安全团队感谢 Robert Ressl 负责任地披露了该漏洞：在某些情况下，未经身份验证的攻击者可以操纵页面模板解析，使解析范围包含当前主题目录之外一个指定的、可读取的本地 PHP 文件。如果服务器环境和当前主题均满足相关前置条件，这可能导致远程代码执行（RCE）。

感谢以下 WordPress 贡献者

此次更新由 John Blackbourn 主导。如果没有以下人员的贡献，WordPress 7.1.2 不可能发布：

Aaron Jorbin、Aki Hamano、Alex Concha、Ehtisham Siddiqui、fiocavallari、Jb Audras、Jeffrey Paul、Jeremy Felt、Joe McGill、John Blackbourn、Jon Surrell、Lance Willett、Manuel Camargo、marcs0h、martin.krcho、Mukesh Panchal、Olga Gleckler、Pascal Birchler、Peter Wilson、Rajin Sharwar、Ressl、Rudy Faile、Sergey Biryukov、Shail Mehta、Stephanie Walters 和 vortfu。

CVE 和 GHSA 参考信息

更多详细信息请参阅安全公告：CVE-2026-87902 / GHSA-7hp8-65ch-5whp。

回移植

为提供便利，该安全修复已回移植至所有有资格接收安全修复的分支（目前包括截至 4.7 的版本）。再次提醒：只有最新版本的 WordPress 仍受积极支持。