Wordfence 报告 497 项 WordPress 插件与主题漏洞
Wordfence Intelligence 在 2026 年 10 月 12 日至 18 日收录 497 项 WordPress 插件和主题漏洞，涉及 327 个插件与 23 个主题，其中 428 项已修复、69 项未修复。
推荐理由：报告汇总了497项漏洞及受影响插件和主题、补丁状态与严重等级，并列出多项未修复的严重漏洞，便于站点核查版本和安排更新。
#安全/漏洞
#安全/漏洞
今日 0 条Wordfence 官方博客精选编辑评分7070
Wordfence 官方博客精选编辑评分8484 Wordfence 称 PHP2Shell 攻击持续，尚未发现已知入侵事件
Wordfence 称针对 PHP 漏洞 CVE-2026-109618 和 CVE-2026-109619 的攻击仍在持续，但尚未观察到由这两项漏洞导致的确认入侵。
推荐理由：原文提供漏洞利用样本、攻击目标和处置步骤，可帮助站长识别异常请求并核对 PHP 修复状态。
Wordfence 官方博客精选编辑评分8484 PHP 发布 CVE-2026-109618 与 CVE-2026-109619 紧急安全更新
PHP 项目为 CVE-2026-109618 和 CVE-2026-109619 发布紧急更新，两项漏洞的 CVSS v4.0 评分均为 9.2，可能允许未授权攻击者执行代码。
推荐理由：Wordfence 的测试显示漏洞利用会受服务器配置影响，但未修补的 PHP 服务仍可能遭受未授权代码执行，并提供了升级、重启与核查步骤。
WordPress.com 官方博客精选编辑评分6868 WordPress.com 已修复近期两个关键 PHP 漏洞，自建站点需立即更新
WordPress.com 已保护其托管的所有站点免受近期两个关键 PHP 漏洞影响，这些漏洞可能允许未认证远程代码执行。
推荐理由：文章说明 WordPress.com 如何在基础设施层完成 PHP 补丁部署，并为自建服务器用户给出立即更新的建议。
Wordfence 官方博客精选编辑评分9090 PHP 发布 8.5.12 等 4 个安全版本，修复 2 个严重远程代码执行漏洞
PHP 项目发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复可导致未认证远程代码执行的 CVE-2026-109618 与 CVE-2026-109619。所有提供 Web 请求的 PHP 安装均可能受影响，且 WordPress 自动更新无法修复这些问题，需要在服务器或主机服务商层面更新 PHP。
推荐理由：原文列出了两项 PHP 漏洞的受影响环境、修复版本和操作步骤，可用于判断主机是否需要升级及如何核验补丁。
WordPress.org 新闻精选编辑评分7070 PHP 发布安全更新，修复两个严重漏洞
PHP 项目发布安全更新，修复两个严重安全漏洞，并建议站点负责人尽快更新 PHP 安装。这些漏洞并非 WordPress 专属，任何运行 PHP 应用的服务器都会受影响；WordPress 无需为此更新。可在 WordPress 的 Tools > Site Health > Info > Server 查看当前 PHP 版本，PHP 8.2 之前的版本已不再接收安全更新。
推荐理由：公告给出了受影响的 PHP 版本范围、版本查询路径和暂时下线建议，可供站点负责人评估升级处置。
Wordfence 官方博客精选编辑评分8282 PHP 发布 8.5.12 等版本修复两项 CVSS 9.2 漏洞
PHP 项目已发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两项 CVSS v4.0 评分为 9.2 的严重漏洞。该更新不会通过 WordPress 自动更新安装，站点所有者需检查当前 PHP 版本，并确认主机或自行管理的服务器完成升级。
推荐理由：文章区分托管主机与自主管理服务器两种更新责任，并给出查询 PHP 版本、备份、预发布测试和确认主机更新安排的处置步骤。
Wordfence 官方博客精选编辑评分9292 Wordfence Argus 发现 Duplicator 高危未认证 PHP 对象注入漏洞 CVE-2026-82814
Wordfence Threat Intelligence Team 发现 Duplicator 和 Duplicator Pro 存在高危未认证 PHP 对象注入漏洞 CVE-2026-82814，CVSS 3.1 评分为 8.8。
推荐理由：文章拆解了漏洞从匿名评论到管理员迁移触发的完整链路，并分别说明 Free 版命令执行与 Pro 版文件删除的利用条件及修复方式。
Wordfence 官方博客精选编辑评分8989 UpdraftCentral 连接密钥泄露，被用于在 WordPress 站点安装恶意插件
TeamUpdraft 的 teamupdraft.com 网站遭未授权访问，泄露的 UpdraftCentral 连接密钥被攻击者用于向关联站点上传、激活和删除恶意插件。
推荐理由：文章梳理了泄露连接密钥的利用路径、受影响范围、应急更新及逐站排查方法，可用于识别和处置 UpdraftCentral 相关入侵。
Wordfence 官方博客精选编辑评分8484 Rank Math SEO PRO 3.0.123 部分下载包被植入恶意代码，3.0.124 提供干净替换
Rank Math 确认部分 Rank Math SEO PRO 3.0.123 下载包含恶意代码，受影响下载或更新时间限于 October 15, 2026 at 20:02 UTC 至 October 16, 2026 at 07:12 UTC。
推荐理由：材料给出了受影响下载窗口、恶意行为、排查指标和分场景恢复步骤，可帮助站长判断是否受影响并安排清理。
Wordfence 官方博客精选编辑评分7070 Wordfence 披露 2026 年 10 月 5 日至 11 日 654 个 WordPress 漏洞
Wordfence 披露 2026 年 10 月 5 日至 11 日新增的 654 个 WordPress 漏洞，涉及 405 个插件和 100 个主题，其中 369 个已修复、285 个尚未修复。
推荐理由：报告汇总了 654 个漏洞及受影响版本、修复状态和 CVE 编号，便于站点维护者核对插件与主题并安排升级。
Wordfence 官方博客精选编辑评分7878 Backuply 1.5.9 修复可导致 WordPress 站点接管的二阶 SQL 注入漏洞
Wordfence 披露 Backuply 1.5.8 及更早版本存在二阶 SQL 注入漏洞，受影响插件有超过 600,000 个活跃安装。订阅者及以上权限的攻击者可在个人简介中植入恶意 SQL，管理员随后恢复包含该内容的数据库备份时，漏洞会被触发并可最终取得站点控制权。
推荐理由：漏洞原理、触发条件、修复版本和防火墙规则时间线完整，便于站点管理员判断风险并安排升级。
WordPress.org 新闻精选编辑评分8686 WordPress 7.1.3 维护与安全更新修复 7 项安全问题
WordPress 7.1.3 作为安全与维护版本发布，包含 7 项安全修复和 4 项错误修复，建议立即更新站点。安全问题涉及存储型 XSS、DoS、二阶 SQL 注入、Author 角色粘性文章权限、私有或未发布文章评论泄露及 Imgur 嵌入 XSS 等；符合条件的旧版本分支也将陆续获得回溯补丁。
推荐理由：原文列出 WordPress 7.1.3 修复的 7 项安全问题及回溯分支范围，可据此识别受影响机制并安排更新。
Gutenberg Times（区块编辑器）编辑评分5555 Gutenberg 24.0 与 WordPress 7.2 路线图及 Ipsum 默认主题等动态汇总
Gutenberg 24.0 增加文章标题修订差异对比、Gallery 区块 Grid 变体及 Site Title 自适应文字，Contributor Toolkit 1.2 也开始支持 Gutenberg。
WordPress.org 新闻精选编辑评分8686 WordPress 7.1.2 发布，修复可导致远程代码执行的关键漏洞
WordPress 7.1.2 安全更新修复了 CVE-2026-87902，未经验证的攻击者在特定服务器环境和主题条件下可读取活动主题目录外的本地 PHP 文件并导致远程代码执行。修复已回移植至目前仍可获得安全更新的 4.7 及更高分支，用户可从 WordPress.org 下载，或在 WordPress Dashboard 的“Updates”中选择“Update Now”。
推荐理由：原文说明了漏洞触发前提与远程代码执行风险，并提供 CVE 编号及更新路径，便于站点维护者评估处置优先级。
WordPress.org 新闻精选编辑评分8484 WordPress 7.1.1 发布维护与安全更新，修复 11 项安全问题
WordPress 7.1.1 发布维护与安全更新，包含核心 17 项错误修复、区块编辑器 19 项错误修复和 11 项安全修复。安全问题涉及存储型 XSS、REST API 路径遍历、权限校验缺失和文章覆盖等，官方建议立即更新。安全修复还将按需回移植至目前支持至 4.7 的分支，下一个主要版本 7.2 计划于 12 月发布。
推荐理由：原文列出 WordPress 7.1.1 修复的漏洞类型与升级方式，站点管理员可据此核对风险并完成更新。
Advanced Custom Fields 官方博客精选编辑评分7373 Advanced Custom Fields 6.8.10 发布安全更新
Advanced Custom Fields 6.8.10 现已发布，为 ACF 和 ACF PRO 修复多项安全问题，官方建议所有用户尽快升级。修复涉及 PDF 文件头校验、REST API 读取权限、预览数据权限校验、前端表单令牌过期与域名隔离、表单字段校验、OPTIONS 请求权限及 User 字段 AJAX nonce 验证。
推荐理由：更新日志逐项列出 PDF 上传、REST API 权限、前端表单令牌和字段校验等修复，可用于判断升级影响。
Make WordPress Plugins（插件开发）精选编辑评分8686 WordPress.org 为插件和主题发布引入自动安全审查
WordPress.org 正为每个插件和主题发布版本启用自动安全审查，高风险版本将在分发前被拦截。发布版本先经过 6 小时冷却期，再由多个 AI 模型与 Jetpack Scan 交叉检查并生成安全评分；高风险版本会停止通过 WordPress.org update API 分发，并向提交者发送审查结果，修复并发布低于拦截阈值的新版本后可恢复正常流程。
推荐理由：文章说明插件发布前自动安全审查的运行机制、封禁条件及作者解除封禁的处理方式，便于插件开发者理解发布流程。
Make WordPress Security（安全）编辑评分4747 WordPress 更新漏洞披露计划指南
WordPress 更新 Vulnerability Disclosure Program 指南，将安全报告重点转向具有明确且显著影响的有效漏洞。除 WordPress Core 和 Gutenberg 外，通常仅限管理员授予的权限所涉及的漏洞不再符合受理条件，除非能证明高严重度权限提升和安全影响。WordPress Core 和 Gutenberg 暂时继续遵循现有受理标准。
Make WordPress Security（安全）精选编辑评分6464 WordPress 启动 Core Security Initiative，强化漏洞发布与处置流程
WordPress 核心安全团队启动 Core Security Initiative，以构建更安全、更稳固的 WordPress。该计划包括改进端到端测试与安全发布流程、扩充团队和志愿者处理未结报告与已知问题，以及使用 AI 辅助扫描提前发现漏洞。发现 WordPress 核心漏洞应通过 hackerone.com/wordpress 官方渠道报告。
推荐理由：WordPress 核心安全团队公布了安全发布、报告积压处理和 AI 辅助漏洞扫描三项协同计划，并给出了官方漏洞报告入口。
Gutenberg Times（区块编辑器）精选编辑评分8282 WordPress 7.1 带来 Abilities API、响应式区块样式与无障碍改进
WordPress 7.1 引入 Abilities API、响应式区块样式、SVG Icon API、Playlist 和 Tabs 等开发者功能，并新增无障碍工具提示与焦点改进。
推荐理由：文章汇总了 WordPress 7.1 的开发者功能、无障碍改进和兼容风险，并说明 7.0.4 的安全修复，可作为发布前测试与升级检查的参考。
Gutenberg Times（区块编辑器）精选编辑评分7171 WordPress 7.0.3 修复 12 个漏洞，7.1 RC 与 Gutenberg 23.7 同步推进
WordPress 7.0.3 作为安全更新修复 12 个漏洞，包括登录页预认证 XSS、存储型 XSS 和多站点权限提升，补丁已回移植至 4.7 及以上受支持分支。
推荐理由：文章汇总了 WordPress 7.0.3 安全更新、7.1 RC、7.1 兼容性变化及 Gutenberg 与周边生态进展，并提供测试重点。
Make WordPress Security（安全）精选编辑评分6262 WordPress 组织持续加固 GitHub Actions 工作流并推进组织级安全扫描
WordPress Security 团队正持续加固组织内 GitHub Actions 工作流，以降低供应链攻击风险。团队已收紧权限、移除不安全行为、归档 20 个无维护仓库，并在 wordpress-develop 与 gutenberg 引入 Actionlint 和 Zizmor，后续计划在组织级统一执行扫描，并研究适用于所有仓库的安全政策。
推荐理由：WordPress 官方汇总了过去 18 个月的 GitHub Actions 工作流加固措施，并说明组织级扫描与安全政策的推进方向。
Make WordPress Security（安全）精选编辑评分7676 WordPress 将于 2025 年 7 月停止为 4.1 至 4.6 提供安全更新
WordPress 安全团队将于 2025 年 7 月停止为 WordPress 4.1 至 4.6 提供安全更新，官方仅支持最新版本。截至 2025 年 6 月，运行这些旧版本的站点占比远低于 1%；4.7 以下版本的管理后台将显示无法关闭的更新提示，并在最后更新中明确告知已不再获得安全更新。
推荐理由：WordPress 安全团队将终止 4.1 至 4.6 的安全更新，旧版本用户可据此安排升级。