WP CVE-2026-87902 检查器

英文版

单文件只读诊断脚本，用于检查 WordPress 是否存在 CVE-2026-87902 的利用条件以及典型入侵迹象。

该脚本不会修改或删除任何内容。它会检查：

• WordPress 版本以及所用分支是否已安装修复补丁（已考虑截至 WordPress 4.7 的官方 backport 补丁）；
• 当前启用的父/子主题中是否存在顶层 page-* 目录；
• register_argc_argv、include_path 以及 pearcmd.php 是否可访问；
• WordPress 管理员；
• uploads 目录中的可执行文件以及近期新增的 PHP 文件；
• WPML、MailPoet、AIOS、Solid/iThemes Security、WP Super Cache 和 Wordfence 创建的若干已知路径；
• WordPress Core 的官方校验和，并考虑本地化构建和多语言站点；
• wp-admin、wp-includes 以及根目录中多余的 PHP 文件；
• WP-Cron（仅供参考）。

使用方法

1. 将 wp-cve-2026-87902-check.php 下载到 WordPress 根目录，与 wp-load.php 放在一起。

2. 在文件中将：

   root@kitploit:~

   $ACCESS_KEY = 'CHANGE-ME-TO-A-LONG-RANDOM-STRING';
   

   替换为一个较长的随机字符串。

3. 打开：

   root@kitploit:~

   https://example.com/wp-cve-2026-87902-check.php?key=你的密钥
   

4. 保存结果，并从服务器上删除该脚本。

也可以通过 CLI 运行：

php wp-cve-2026-87902-check.php

兼容性

该检查器本身适用于 PHP 5.6+ 和 WordPress 4.7+。它也适用于运行 WordPress 5.x 的旧站点。

对于多语言站点，检查器不会假定当前 locale 与 WordPress 软件包的 locale 相同：在检查 core checksums 时，它会尝试多个相关 locale 以及 en_US。

重要说明

这不是一个完整的恶意软件扫描器，也不能证明历史上从未被入侵。对于已知的 cache/security 路径，标记为 INFO 仅表示该路径被相应插件正常使用；如有必要，仍应检查文件内容。

输出内容包含绝对路径、管理员登录名和电子邮件——未经清理请勿公开。

WordPress 官方公告：
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp