Wordfence 报告 497 项 WordPress 插件与主题漏洞
Wordfence Intelligence 在 2026 年 10 月 12 日至 18 日收录 497 项 WordPress 插件和主题漏洞，涉及 327 个插件与 23 个主题，其中 428 项已修复、69 项未修复。
推荐理由：报告汇总了497项漏洞及受影响插件和主题、补丁状态与严重等级，并列出多项未修复的严重漏洞，便于站点核查版本和安排更新。
#安全加固
#安全加固
今日 0 条Wordfence 官方博客精选编辑评分7070
Wordfence 官方博客精选编辑评分8484 Wordfence 称 PHP2Shell 攻击持续，尚未发现已知入侵事件
Wordfence 称针对 PHP 漏洞 CVE-2026-109618 和 CVE-2026-109619 的攻击仍在持续，但尚未观察到由这两项漏洞导致的确认入侵。
推荐理由：原文提供漏洞利用样本、攻击目标和处置步骤，可帮助站长识别异常请求并核对 PHP 修复状态。
Tutor LMS新闻编辑评分6969 PHP2Shell 漏洞披露后如何用 PHP 更新保护 WordPress 站点
PHP2Shell 包含 CVE-2026-109618 和 CVE-2026-109619，可导致未认证攻击者在存在漏洞的服务器上执行恶意代码，但并非 WordPress 或 Tutor LMS 专属问题，也不需要更新这两款产品。
Wordfence 官方博客精选编辑评分8484 Rank Math SEO PRO 3.0.123 部分下载包被植入恶意代码，3.0.124 提供干净替换
Rank Math 确认部分 Rank Math SEO PRO 3.0.123 下载包含恶意代码，受影响下载或更新时间限于 October 15, 2026 at 20:02 UTC 至 October 16, 2026 at 07:12 UTC。
推荐理由：材料给出了受影响下载窗口、恶意行为、排查指标和分场景恢复步骤，可帮助站长判断是否受影响并安排清理。
ColorLib新闻编辑评分3131 40+ 项黑客攻击与网络安全统计数据（2026）
ColorLib 汇总了 40+ 项 2026 年黑客攻击与网络安全统计数据。FBI 在 2025 年收到 1,008,597 起网络犯罪投诉，报告损失达 $20.9 billion；IBM 2026 报告称，数据泄露平均成本为 $4.99 million，Verizon DBIR 2026 显示 31% 的泄露始于漏洞利用。
WordPress.org 新闻精选编辑评分8686 WordPress 7.1.3 维护与安全更新修复 7 项安全问题
WordPress 7.1.3 作为安全与维护版本发布，包含 7 项安全修复和 4 项错误修复，建议立即更新站点。安全问题涉及存储型 XSS、DoS、二阶 SQL 注入、Author 角色粘性文章权限、私有或未发布文章评论泄露及 Imgur 嵌入 XSS 等；符合条件的旧版本分支也将陆续获得回溯补丁。
推荐理由：原文列出 WordPress 7.1.3 修复的 7 项安全问题及回溯分支范围，可据此识别受影响机制并安排更新。
Advanced Custom Fields 官方博客精选编辑评分7373 Advanced Custom Fields 6.8.10 发布安全更新
Advanced Custom Fields 6.8.10 现已发布，为 ACF 和 ACF PRO 修复多项安全问题，官方建议所有用户尽快升级。修复涉及 PDF 文件头校验、REST API 读取权限、预览数据权限校验、前端表单令牌过期与域名隔离、表单字段校验、OPTIONS 请求权限及 User 字段 AJAX nonce 验证。
推荐理由：更新日志逐项列出 PDF 上传、REST API 权限、前端表单令牌和字段校验等修复，可用于判断升级影响。
Make WordPress Plugins（插件开发）精选编辑评分8686 WordPress.org 为插件和主题发布引入自动安全审查
WordPress.org 正为每个插件和主题发布版本启用自动安全审查，高风险版本将在分发前被拦截。发布版本先经过 6 小时冷却期，再由多个 AI 模型与 Jetpack Scan 交叉检查并生成安全评分；高风险版本会停止通过 WordPress.org update API 分发，并向提交者发送审查结果，修复并发布低于拦截阈值的新版本后可恢复正常流程。
推荐理由：文章说明插件发布前自动安全审查的运行机制、封禁条件及作者解除封禁的处理方式，便于插件开发者理解发布流程。
JetPack新闻精选编辑评分7676 Jetpack 16.1.3 修复 Import 功能严重安全漏洞
Jetpack 16.1.3 修复了自 12.0 起存在于 Import 功能的严重漏洞，目前没有该漏洞被利用的证据。导入文章元数据时未经限制反序列化数据，可让有导入权限的用户触发 PHP 对象构造并可能发动进一步攻击；同版本还加强了 Media API 的文章编辑权限检查，并清理 Reader 转发流程从 URL 取得的数据。
推荐理由：原文披露了 Jetpack 16.1.3 的严重漏洞成因、影响范围及 42 个安全版本，可用于核对站点版本与升级状态。
Make WordPress Security（安全）编辑评分4747 WordPress 更新漏洞披露计划指南
WordPress 更新 Vulnerability Disclosure Program 指南，将安全报告重点转向具有明确且显著影响的有效漏洞。除 WordPress Core 和 Gutenberg 外，通常仅限管理员授予的权限所涉及的漏洞不再符合受理条件，除非能证明高严重度权限提升和安全影响。WordPress Core 和 Gutenberg 暂时继续遵循现有受理标准。
Make WordPress Security（安全）精选编辑评分6464 WordPress 启动 Core Security Initiative，强化漏洞发布与处置流程
WordPress 核心安全团队启动 Core Security Initiative，以构建更安全、更稳固的 WordPress。该计划包括改进端到端测试与安全发布流程、扩充团队和志愿者处理未结报告与已知问题，以及使用 AI 辅助扫描提前发现漏洞。发现 WordPress 核心漏洞应通过 hackerone.com/wordpress 官方渠道报告。
推荐理由：WordPress 核心安全团队公布了安全发布、报告积压处理和 AI 辅助漏洞扫描三项协同计划，并给出了官方漏洞报告入口。
WordPress大学精选编辑评分9292 WordPress wp2shell 漏洞链影响 6.8.0 至 7.0.1，安全版本为 6.8.6、6.9.5 和 7.0.2
WordPress 核心 wp2shell 漏洞链可被匿名利用，影响 6.8.0 至 7.0.1 中的多个版本，官方已发布 6.8.6、6.9.5 和 7.0.2 安全版本。
推荐理由：文章梳理了漏洞链的触发条件、受影响版本与修复版本，并提供升级、Nginx 临时拦截和入侵排查步骤。
Make WordPress Security（安全）精选编辑评分6262 WordPress 组织持续加固 GitHub Actions 工作流并推进组织级安全扫描
WordPress Security 团队正持续加固组织内 GitHub Actions 工作流，以降低供应链攻击风险。团队已收紧权限、移除不安全行为、归档 20 个无维护仓库，并在 wordpress-develop 与 gutenberg 引入 Actionlint 和 Zizmor，后续计划在组织级统一执行扫描，并研究适用于所有仓库的安全政策。
推荐理由：WordPress 官方汇总了过去 18 个月的 GitHub Actions 工作流加固措施，并说明组织级扫描与安全政策的推进方向。
WordPress大学编辑评分5555 WordPress 如何安全移除 Feed 中的 wellformedweb.org/CommentAPI 恶意网址
WordPress Feed 输出中的 wellformedweb.org/CommentAPI 指向已被非法业务公司收购的过期域名，文章建议安装 Remove WFW CommentAPI Link 插件，或在主题的 functions.php 中添加代码移除相关输出。
Make WordPress Security（安全）编辑评分4343 WordPress 6.6 即将发布，开放安全漏洞赏金征集
WordPress 6.6 Beta 1 于 June 4th, 2024 发布后，欢迎安全研究人员通过 HackerOne 提交新代码中的有效漏洞。WordPress 6.6 Beta 1 至最终 RC 发布前发现的符合条件安全问题，可获得双倍赏金。