Wordfence 报告 497 项 WordPress 插件与主题漏洞
Wordfence Intelligence 在 2026 年 10 月 12 日至 18 日收录 497 项 WordPress 插件和主题漏洞，涉及 327 个插件与 23 个主题，其中 428 项已修复、69 项未修复。
推荐理由：报告汇总了497项漏洞及受影响插件和主题、补丁状态与严重等级，并列出多项未修复的严重漏洞，便于站点核查版本和安排更新。
10月28日 · 周三
精选
最新精选
Wordfence 官方博客精选编辑评分7070
Kinsta 博客精选编辑评分7777 Kinsta 部署 PHP2Shell 安全更新，称未发现入侵证据
Kinsta 已在全部托管环境部署 PHP2Shell 安全更新，客户无需修改 PHP 版本或单独安装补丁。PHP2Shell 涉及 CVE-2026-109618 和 CVE-2026-109619，两项漏洞在 CVSS 4.0 下的严重程度评分均为 9.2，Kinsta 于 October 22, 2026 将事件标记为解决且未发现成功入侵证据。
推荐理由：文章披露了 Kinsta 针对 PHP2Shell 的平台级响应，包括 WAF 防护、PHP 补丁部署与处置结果，可供主机用户了解影响范围和自身检查方式。
Wordfence 官方博客精选编辑评分8484 Wordfence 称 PHP2Shell 攻击持续，尚未发现已知入侵事件
Wordfence 称针对 PHP 漏洞 CVE-2026-109618 和 CVE-2026-109619 的攻击仍在持续，但尚未观察到由这两项漏洞导致的确认入侵。
推荐理由：原文提供漏洞利用样本、攻击目标和处置步骤，可帮助站长识别异常请求并核对 PHP 修复状态。
WordPress大学精选编辑评分8686 PHP2Shell 修复 PHP 核心高危漏洞，WordPress 站点需更新 PHP 版本
PHP 核心漏洞 PHP2Shell 包含 CVE-2026-109618 和 CVE-2026-109619，CVSS 评分为 9.2，未经身份验证的攻击者可执行代码或泄露进程内存。
推荐理由：文章列出了 PHP2Shell 对应的 CVE 编号、受影响版本和修复版本，并提供查看及更新 PHP 的具体路径。
Wordfence 官方博客精选编辑评分8484 PHP 发布 CVE-2026-109618 与 CVE-2026-109619 紧急安全更新
PHP 项目为 CVE-2026-109618 和 CVE-2026-109619 发布紧急更新，两项漏洞的 CVSS v4.0 评分均为 9.2，可能允许未授权攻击者执行代码。
推荐理由：Wordfence 的测试显示漏洞利用会受服务器配置影响，但未修补的 PHP 服务仍可能遭受未授权代码执行，并提供了升级、重启与核查步骤。
WordPress.com 官方博客精选编辑评分6868 WordPress.com 已修复近期两个关键 PHP 漏洞，自建站点需立即更新
WordPress.com 已保护其托管的所有站点免受近期两个关键 PHP 漏洞影响，这些漏洞可能允许未认证远程代码执行。
推荐理由：文章说明 WordPress.com 如何在基础设施层完成 PHP 补丁部署，并为自建服务器用户给出立即更新的建议。
Wordfence 官方博客精选编辑评分9090 PHP 发布 8.5.12 等 4 个安全版本，修复 2 个严重远程代码执行漏洞
PHP 项目发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复可导致未认证远程代码执行的 CVE-2026-109618 与 CVE-2026-109619。所有提供 Web 请求的 PHP 安装均可能受影响，且 WordPress 自动更新无法修复这些问题，需要在服务器或主机服务商层面更新 PHP。
推荐理由：原文列出了两项 PHP 漏洞的受影响环境、修复版本和操作步骤，可用于判断主机是否需要升级及如何核验补丁。
WPBeginner精选编辑评分8282 PHP 修复两个高危漏洞，WordPress 站点需立即升级
PHP 安全团队为两个可让攻击者无需登录即可在 Web 服务器执行代码的高危漏洞发布了紧急修复。修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35；PHP 8.1 及更旧版本已不再获得常规安全更新。WordPress 核心更新不会切换 PHP 版本，用户需在主机账户中升级，升级前备份站点，并检查异常管理员账户和意外变更的文件。
推荐理由：文章列出了已修复的 PHP 版本，并提供检查、备份、升级及排查入侵痕迹的处理顺序。
WordPress.org 新闻精选编辑评分7070 PHP 发布安全更新，修复两个严重漏洞
PHP 项目发布安全更新，修复两个严重安全漏洞，并建议站点负责人尽快更新 PHP 安装。这些漏洞并非 WordPress 专属，任何运行 PHP 应用的服务器都会受影响；WordPress 无需为此更新。可在 WordPress 的 Tools > Site Health > Info > Server 查看当前 PHP 版本，PHP 8.2 之前的版本已不再接收安全更新。
推荐理由：公告给出了受影响的 PHP 版本范围、版本查询路径和暂时下线建议，可供站点负责人评估升级处置。
Wordfence 官方博客精选编辑评分8282 PHP 发布 8.5.12 等版本修复两项 CVSS 9.2 漏洞
PHP 项目已发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两项 CVSS v4.0 评分为 9.2 的严重漏洞。该更新不会通过 WordPress 自动更新安装，站点所有者需检查当前 PHP 版本，并确认主机或自行管理的服务器完成升级。
推荐理由：文章区分托管主机与自主管理服务器两种更新责任，并给出查询 PHP 版本、备份、预发布测试和确认主机更新安排的处置步骤。
Wordfence 官方博客精选编辑评分9292 Wordfence Argus 发现 Duplicator 高危未认证 PHP 对象注入漏洞 CVE-2026-82814
Wordfence Threat Intelligence Team 发现 Duplicator 和 Duplicator Pro 存在高危未认证 PHP 对象注入漏洞 CVE-2026-82814，CVSS 3.1 评分为 8.8。
推荐理由：文章拆解了漏洞从匿名评论到管理员迁移触发的完整链路，并分别说明 Free 版命令执行与 Pro 版文件删除的利用条件及修复方式。
Wordfence 官方博客精选编辑评分8989 UpdraftCentral 连接密钥泄露，被用于在 WordPress 站点安装恶意插件
TeamUpdraft 的 teamupdraft.com 网站遭未授权访问，泄露的 UpdraftCentral 连接密钥被攻击者用于向关联站点上传、激活和删除恶意插件。
推荐理由：文章梳理了泄露连接密钥的利用路径、受影响范围、应急更新及逐站排查方法，可用于识别和处置 UpdraftCentral 相关入侵。
Wordfence 官方博客精选编辑评分8484 Rank Math SEO PRO 3.0.123 部分下载包被植入恶意代码，3.0.124 提供干净替换
Rank Math 确认部分 Rank Math SEO PRO 3.0.123 下载包含恶意代码，受影响下载或更新时间限于 October 15, 2026 at 20:02 UTC 至 October 16, 2026 at 07:12 UTC。
推荐理由：材料给出了受影响下载窗口、恶意行为、排查指标和分场景恢复步骤，可帮助站长判断是否受影响并安排清理。
Wordfence 官方博客精选编辑评分7070 Wordfence 披露 2026 年 10 月 5 日至 11 日 654 个 WordPress 漏洞
Wordfence 披露 2026 年 10 月 5 日至 11 日新增的 654 个 WordPress 漏洞，涉及 405 个插件和 100 个主题，其中 369 个已修复、285 个尚未修复。
推荐理由：报告汇总了 654 个漏洞及受影响版本、修复状态和 CVE 编号，便于站点维护者核对插件与主题并安排升级。
Wordfence 官方博客精选编辑评分7878 Backuply 1.5.9 修复可导致 WordPress 站点接管的二阶 SQL 注入漏洞
Wordfence 披露 Backuply 1.5.8 及更早版本存在二阶 SQL 注入漏洞，受影响插件有超过 600,000 个活跃安装。订阅者及以上权限的攻击者可在个人简介中植入恶意 SQL，管理员随后恢复包含该内容的数据库备份时，漏洞会被触发并可最终取得站点控制权。
推荐理由：漏洞原理、触发条件、修复版本和防火墙规则时间线完整，便于站点管理员判断风险并安排升级。
WordPress.org 新闻精选编辑评分8686 WordPress 7.1.3 维护与安全更新修复 7 项安全问题
WordPress 7.1.3 作为安全与维护版本发布，包含 7 项安全修复和 4 项错误修复，建议立即更新站点。安全问题涉及存储型 XSS、DoS、二阶 SQL 注入、Author 角色粘性文章权限、私有或未发布文章评论泄露及 Imgur 嵌入 XSS 等；符合条件的旧版本分支也将陆续获得回溯补丁。
推荐理由：原文列出 WordPress 7.1.3 修复的 7 项安全问题及回溯分支范围，可据此识别受影响机制并安排更新。
WordPress.org 新闻精选编辑评分8686 WordPress 7.1.2 发布，修复可导致远程代码执行的关键漏洞
WordPress 7.1.2 安全更新修复了 CVE-2026-87902，未经验证的攻击者在特定服务器环境和主题条件下可读取活动主题目录外的本地 PHP 文件并导致远程代码执行。修复已回移植至目前仍可获得安全更新的 4.7 及更高分支，用户可从 WordPress.org 下载，或在 WordPress Dashboard 的“Updates”中选择“Update Now”。
推荐理由：原文说明了漏洞触发前提与远程代码执行风险，并提供 CVE 编号及更新路径，便于站点维护者评估处置优先级。
WordPress.org 新闻精选编辑评分8484 WordPress 7.1.1 发布维护与安全更新，修复 11 项安全问题
WordPress 7.1.1 发布维护与安全更新，包含核心 17 项错误修复、区块编辑器 19 项错误修复和 11 项安全修复。安全问题涉及存储型 XSS、REST API 路径遍历、权限校验缺失和文章覆盖等，官方建议立即更新。安全修复还将按需回移植至目前支持至 4.7 的分支，下一个主要版本 7.2 计划于 12 月发布。
推荐理由：原文列出 WordPress 7.1.1 修复的漏洞类型与升级方式，站点管理员可据此核对风险并完成更新。
Advanced Custom Fields 官方博客精选编辑评分7373 Advanced Custom Fields 6.8.10 发布安全更新
Advanced Custom Fields 6.8.10 现已发布，为 ACF 和 ACF PRO 修复多项安全问题，官方建议所有用户尽快升级。修复涉及 PDF 文件头校验、REST API 读取权限、预览数据权限校验、前端表单令牌过期与域名隔离、表单字段校验、OPTIONS 请求权限及 User 字段 AJAX nonce 验证。
推荐理由：更新日志逐项列出 PDF 上传、REST API 权限、前端表单令牌和字段校验等修复，可用于判断升级影响。
Make WordPress Plugins（插件开发）精选编辑评分8686 WordPress.org 为插件和主题发布引入自动安全审查
WordPress.org 正为每个插件和主题发布版本启用自动安全审查，高风险版本将在分发前被拦截。发布版本先经过 6 小时冷却期，再由多个 AI 模型与 Jetpack Scan 交叉检查并生成安全评分；高风险版本会停止通过 WordPress.org update API 分发，并向提交者发送审查结果，修复并发布低于拦截阈值的新版本后可恢复正常流程。
推荐理由：文章说明插件发布前自动安全审查的运行机制、封禁条件及作者解除封禁的处理方式，便于插件开发者理解发布流程。