Tutor LMS v4.2.0 发布，REST API 改用令牌认证并优化加载性能
Tutor LMS v4.2.0 已发布，REST API 认证改为个性化访问令牌与刷新令牌，并加强基于用户角色和权限的授权。此前使用 API key 和 secret 的 Basic Auth 不再支持，访问令牌默认有效期 1 天，刷新令牌默认 30 天。
#安全加固
#安全加固
今日 0 条Tutor LMS新闻编辑评分7575
Gutenberg Times（区块编辑器）精选编辑评分7676 WordPress 7.2 Beta 1 与 Gutenberg 24.2 带来编辑、协作和 AI 能力更新
WordPress 7.2 Beta 1 进入测试，计划于 December 8 发布最终版，并加入 Notes 移至画布侧边栏、Secrets API 和客户端媒体处理等变化。
推荐理由：文章汇总 WordPress 7.2 Beta 1、Gutenberg 24.2、MCP 默认化方向及多项扩展动态，并提供测试范围与兼容性提示。
Wordfence 官方博客精选编辑评分7070 Wordfence 报告 497 项 WordPress 插件与主题漏洞
Wordfence Intelligence 在 2026 年 10 月 12 日至 18 日收录 497 项 WordPress 插件和主题漏洞，涉及 327 个插件与 23 个主题，其中 428 项已修复、69 项未修复。
推荐理由：报告汇总了497项漏洞及受影响插件和主题、补丁状态与严重等级，并列出多项未修复的严重漏洞，便于站点核查版本和安排更新。
Wordfence 官方博客精选编辑评分8484 Wordfence 称 PHP2Shell 攻击持续，尚未发现已知入侵事件
Wordfence 称针对 PHP 漏洞 CVE-2026-109618 和 CVE-2026-109619 的攻击仍在持续，但尚未观察到由这两项漏洞导致的确认入侵。
推荐理由：原文提供漏洞利用样本、攻击目标和处置步骤，可帮助站长识别异常请求并核对 PHP 修复状态。
WordPress.com 官方博客编辑评分3232 WordPress.com 付费主机如何为站点提供恶意软件清理与安全防护
WordPress.com 为 Personal、Premium、Business 和 Commerce 付费计划提供每日恶意软件扫描与清理，迁移受感染站点时也免费清理。付费计划已包含 web application firewall 和 DDoS protection，用于过滤恶意请求及缓解流量过载；其他主机的一次性紧急恶意软件清理费用最高可达 US$160。
Advanced Custom Fields 官方博客编辑评分5959 Advanced Custom Fields 发布 ACF 6.8.10 安全更新并预览 Smart Field Suggestions
Advanced Custom Fields 发布 ACF 6.8.10 安全更新，修复已报告漏洞并建议立即更新本地、预发布和生产环境。官方还预览了 ACF PRO 的 Smart Field Suggestions，可通过基础提示或客户需求简报生成复杂字段组，默认关闭并可使用 enable_smart_field_suggestions 过滤器启用。
Tutor LMS新闻编辑评分6969 PHP2Shell 漏洞披露后如何用 PHP 更新保护 WordPress 站点
PHP2Shell 包含 CVE-2026-109618 和 CVE-2026-109619，可导致未认证攻击者在存在漏洞的服务器上执行恶意代码，但并非 WordPress 或 Tutor LMS 专属问题，也不需要更新这两款产品。
Kinsta 博客编辑评分2828 为什么 WordPress 专业能力在 AI 辅助开发中仍然重要
AI 虽能生成代码、排查错误和构建原型，但 WordPress 开发者仍需判断方案在架构、性能、安全、无障碍和可维护性方面是否适合生产环境。四位受访开发者强调，AI 生成的代码必须接受人工审查，开发者还需提供项目上下文、明确约束，并通过测试验证未变更行为。Kinsta 支持开发者使用预发布环境测试变更，确保方案在正式上线前符合预期。
Make WordPress Core（核心开发）编辑评分4040 WordPress 7.1 “Mary Lou”回顾总结
WordPress 7.1 “Mary Lou”回顾汇总了发布团队收到的反馈，建议保留发布聚会、每周沟通和发布前安全审计，并继续举行启动电话会议。后续应减少与现场活动绑定的发布压力，提前共享面向用户的区块编辑器 UI 变化，并探索自动化流程与更广泛的主机测试。
Wordfence 官方博客精选编辑评分8484 Rank Math SEO PRO 3.0.123 部分下载包被植入恶意代码，3.0.124 提供干净替换
Rank Math 确认部分 Rank Math SEO PRO 3.0.123 下载包含恶意代码，受影响下载或更新时间限于 October 15, 2026 at 20:02 UTC 至 October 16, 2026 at 07:12 UTC。
推荐理由：材料给出了受影响下载窗口、恶意行为、排查指标和分场景恢复步骤，可帮助站长判断是否受影响并安排清理。
WordPress.com 官方博客编辑评分4545 WordPress.com 更新日志：付费方案新增 Premium Themes，Newsletter Hub 升级
WordPress.com 的所有付费方案现已包含 Premium Themes，Personal 方案也可使用或上传自己的主题。Newsletter 新增 Overview 标签，提供设置清单、订阅者统计、打开与点击率及文章表现等信息。WordPress 7.1.3 安全更新已于 October 6 发布，WordPress.com 站点已自动完成更新。
Make WordPress Core（核心开发）编辑评分1515 WP Feature Notifications 每周进展：0.3.0 发行跟踪与安全 PR 审查
WP Feature Notifications 团队更新了 0.3.0 发行跟踪 issue #302，列出完成 MVP 所需的 16 个开放事项，并呼吁贡献者集中处理。
Make WordPress Core（核心开发）编辑评分5151 Gutenberg 发起 wp/X.Y 分支 GitHub Actions 工作流修复代码审查
Gutenberg 维护者 Jonathan Desrosiers 为 wp/X.Y 发布分支修复 GitHub Actions 和测试基础设施，并发起约 500 个、覆盖 20+ 分支的 pull request 人工审查。
JetPack新闻编辑评分5959 如何使用 ChatGPT 中的 Jetpack 插件管理 WordPress 站点
WordPress 插件 Jetpack 现已接入 ChatGPT，可通过自然语言检查备份、安全扫描、停机提醒和账户保护。ChatGPT 仅在用户授予的权限内操作，并在修改设置前请求确认；可先使用只读问题了解站点状态，再逐步尝试后续操作。
ColorLib新闻编辑评分5050 80+ WordPress 数据统计：有多少网站在使用 WordPress？
2026 年 10 月，WordPress 占全球网站的 40.2%，全球约有 5.9 亿个 WordPress 网站，但份额较 2025 年初峰值下降。
ColorLib新闻编辑评分3131 40+ 项黑客攻击与网络安全统计数据（2026）
ColorLib 汇总了 40+ 项 2026 年黑客攻击与网络安全统计数据。FBI 在 2025 年收到 1,008,597 起网络犯罪投诉，报告损失达 $20.9 billion；IBM 2026 报告称，数据泄露平均成本为 $4.99 million，Verizon DBIR 2026 显示 31% 的泄露始于漏洞利用。
WordPress 开发者博客精选编辑评分8080 WordPress 7.2 与 Gutenberg 24.1 开发者更新盘点
WordPress 开发者博客盘点了 WordPress 7.2、Gutenberg 24.0 和 24.1 中影响插件与主题开发的重要变化。7.2 Beta 1 计划于 October 20, 2026 发布，RC1 为 November 17，正式版为 December 8；路线图涵盖安全、区块、API、设计工具、管理、媒体与性能。
推荐理由：文章筛选了 WordPress 7.2 与近期 Gutenberg 更新中最影响开发者的变化，并指出兼容性与测试重点。
WP Tavern编辑评分5454 Robert Abela 解读 2026 WordPress 安全调查与 AI 威胁
Robert Abela 解读 Melapress 2026 WordPress 安全调查，219 名受访者中 67.7% 过去一年经历过至少一次安全事件，13.2% 遭遇超过 5 次。调查指出仅 27.9% 设有安全事件恢复计划，37% 使用日志；访谈还讨论了 AI 加速漏洞发现及插件开发者主动扫描更新的趋势。
WooCommerce 官方博客编辑评分4949 Pressable MCP 将主机账户连接至 AI，辅助 WordPress 商店运维与上线检查
Pressable MCP 可将 Claude、ChatGPT 或 Cursor 连接到主机，检查缓存、PHP 版本、备份及插件和主题变更，并执行备份恢复、缓存刷新与预发布环境上线。用户还可启用 WordPress MCP 插件查看产品和订单，该功能现已向所有 Pressable 客户免费提供。
Make WordPress Core（核心开发）编辑评分3737 Feature Notifications 0.3.0 状态更新与发布计划
Feature Notifications 0.3.0 计划于 1 December 2026 发布，并与 WordPress 7.2 同步，目标是在核心中提供可创建、存储、显示和关闭通知的首个功能性 MVP。
WooCommerce 官方博客精选编辑评分7070 WooCommerce 11.2 更新商品导入、结账日期与订单撤回邮件功能
WooCommerce 11.2 新增按 UPC 等标识导入商品、Checkout block 请求日期、订单撤回双邮件配置和商品目录排序，并优化可变商品的加载与结账速度。Product Filters block 支持固定定位，多个区块增加样式选项；该版本还包含安全改进和数据库更新，更新前应先备份。
推荐理由：文章汇总了 WooCommerce 11.2 对商品导入、结账日期、订单撤回邮件和商品筛选等商家功能的更新，并提示备份与权限变化。
Make WordPress Core（核心开发）精选编辑评分7676 WordPress 推进 wp_kses() 基于 HTML API 的核心重构
WordPress 正以基于 HTML API 的新实现重构 wp_kses，在不改变插件和主题接口的前提下替换旧有字符串处理与 PCRE 逻辑。新实现会规范化 HTML、解析歧义字符引用、移除不允许的 SCRIPT 与 STYLE 内容，并拒绝部分复杂 SVG 和 MathML；站点可通过 `wp_kses_force_legacy_parser` 过滤器暂时启用旧实现。
推荐理由：文章详细对比 wp_kses() 新旧解析行为，涵盖 HTML 规范化、特殊元素、SVG 与 MathML 及兼容迁移方式。
WordPress.org 新闻精选编辑评分8686 WordPress 7.1.3 维护与安全更新修复 7 项安全问题
WordPress 7.1.3 作为安全与维护版本发布，包含 7 项安全修复和 4 项错误修复，建议立即更新站点。安全问题涉及存储型 XSS、DoS、二阶 SQL 注入、Author 角色粘性文章权限、私有或未发布文章评论泄露及 Imgur 嵌入 XSS 等；符合条件的旧版本分支也将陆续获得回溯补丁。
推荐理由：原文列出 WordPress 7.1.3 修复的 7 项安全问题及回溯分支范围，可据此识别受影响机制并安排更新。
Make WordPress Security（安全）编辑评分4141 HelpScout 迁移至 FreeScout：WordPress.org 分阶段迁移收件箱
WordPress.org 已搭建 FreeScout 实例 freescout.wordpress.net，并将在未来几周把约 20 个 HelpScout 收件箱分 5 个阶段迁移。迁移将涵盖约 86 个账户，并改用 WordPress.org SSO、双因素身份验证和管理员 Proxy access；时间表可能因 Systems 团队资源及外部工作流替换难度而调整。
Make WordPress Plugins（插件开发）编辑评分4343 X-post：HelpScout 迁移至 FreeScout 公告
WordPress.org 团队正分阶段将约 20 个 HelpScout 邮箱和约 86 个账户迁移至自托管的 FreeScout，并改用 WordPress.org SSO。迁移完成后，现有 HelpScout 用户可通过 WordPress.org 账户访问 freescout.wordpress.net，无需另行注册；具体时间视 Systems 团队可用性和工作流复杂度调整。
WPBeginner编辑评分3838 WPBeginner Spotlight 28：WPVibe 覆盖 50,000 个站点、WPForms 推出新仪表盘及两项 WordPress 安全更新
WPVibe 月末活跃安装量突破 50,000，并上线免费版也包含的 Fleet Management，可在一次对话中检查并更新多个站点。WPForms 推出新 Dashboard，集中显示表单条目、付款和浏览数据，WordPress 7.1.1 与 7.1.2 修复了 12 项安全问题，WPVibe 1.19 也新增 SVG 上传支持。
Advanced Custom Fields 官方博客精选编辑评分7373 Advanced Custom Fields 6.8.10 发布安全更新
Advanced Custom Fields 6.8.10 现已发布，为 ACF 和 ACF PRO 修复多项安全问题，官方建议所有用户尽快升级。修复涉及 PDF 文件头校验、REST API 读取权限、预览数据权限校验、前端表单令牌过期与域名隔离、表单字段校验、OPTIONS 请求权限及 User 字段 AJAX nonce 验证。
推荐理由：更新日志逐项列出 PDF 上传、REST API 权限、前端表单令牌和字段校验等修复，可用于判断升级影响。
WP Kube编辑评分3636 如何为 WordPress 设置双重身份验证：WP 2FA 评测
WP 2FA 插件可帮助 WordPress 站点保护管理员及其他用户账户，并提供灵活的双重身份验证策略。插件支持电子邮件、短信、身份验证器应用和推送通知，可生成一次性备份代码，并提供可信设备、白标及 WooCommerce 集成。WordPress.org 提供免费版，付费版支持按用户、角色或名称配置策略及宽限期。
WP Tavern编辑评分4646 #233：Chris Reynolds 谈以项目合同构建 AI 辅助开发的信任
WP Tavern 的 Jukebox 播客第 233 期邀请 Pantheon 开发者关系高级经理 Chris Reynolds，探讨通过项目合同提升 AI 辅助开发的可靠性。
Make WordPress Plugins（插件开发）精选编辑评分8686 WordPress.org 为插件和主题发布引入自动安全审查
WordPress.org 正为每个插件和主题发布版本启用自动安全审查，高风险版本将在分发前被拦截。发布版本先经过 6 小时冷却期，再由多个 AI 模型与 Jetpack Scan 交叉检查并生成安全评分；高风险版本会停止通过 WordPress.org update API 分发，并向提交者发送审查结果，修复并发布低于拦截阈值的新版本后可恢复正常流程。
推荐理由：文章说明插件发布前自动安全审查的运行机制、封禁条件及作者解除封禁的处理方式，便于插件开发者理解发布流程。
WP Tavern编辑评分4949 Aaron D Campbell 谈 AI 时代如何应对 WordPress 安全挑战
Aaron D Campbell 指出，AI 正加速 WordPress 攻击的速度、规模与复杂度，攻击者可借助 AI 代理串联漏洞，安全对抗已转向算力竞争。他建议 WordPress 用户及时更新、选择重视安全的主机，并监测 Compromise 凭据，同时关注漏洞发现至遭利用之间不断缩短的时间窗口。
JetPack新闻精选编辑评分7676 Jetpack 16.1.3 修复 Import 功能严重安全漏洞
Jetpack 16.1.3 修复了自 12.0 起存在于 Import 功能的严重漏洞，目前没有该漏洞被利用的证据。导入文章元数据时未经限制反序列化数据，可让有导入权限的用户触发 PHP 对象构造并可能发动进一步攻击；同版本还加强了 Media API 的文章编辑权限检查，并清理 Reader 转发流程从 URL 取得的数据。
推荐理由：原文披露了 Jetpack 16.1.3 的严重漏洞成因、影响范围及 42 个安全版本，可用于核对站点版本与升级状态。
Make WordPress Security（安全）编辑评分4747 WordPress 更新漏洞披露计划指南
WordPress 更新 Vulnerability Disclosure Program 指南，将安全报告重点转向具有明确且显著影响的有效漏洞。除 WordPress Core 和 Gutenberg 外，通常仅限管理员授予的权限所涉及的漏洞不再符合受理条件，除非能证明高严重度权限提升和安全影响。WordPress Core 和 Gutenberg 暂时继续遵循现有受理标准。
Tutor LMS新闻编辑评分2727 如何使用 Cloudflare WAF 保障 WordPress 课程平台安全
Cloudflare WAF 可在请求到达 WordPress 源站前检查流量，并通过托管规则、自定义规则和限速阻止或质询恶意请求。所有 Cloudflare 套餐均提供自动更新的免费托管规则集和限速功能，Ultimate Security 还支持在 WordPress 内连接 Cloudflare 并配置 WAF 规则。
Make WordPress Security（安全）精选编辑评分6464 WordPress 启动 Core Security Initiative，强化漏洞发布与处置流程
WordPress 核心安全团队启动 Core Security Initiative，以构建更安全、更稳固的 WordPress。该计划包括改进端到端测试与安全发布流程、扩充团队和志愿者处理未结报告与已知问题，以及使用 AI 辅助扫描提前发现漏洞。发现 WordPress 核心漏洞应通过 hackerone.com/wordpress 官方渠道报告。
推荐理由：WordPress 核心安全团队公布了安全发布、报告积压处理和 AI 辅助漏洞扫描三项协同计划，并给出了官方漏洞报告入口。
JetPack新闻编辑评分5959 Jetpack 复盘 WordPress 7.1 引发 WP Rocket 致命错误的 45 天处置过程
Jetpack 复盘了 WP Rocket 与 WordPress 7.1 的兼容性故障，称该问题于 2026 年 7 月 6 日公开报告，WordPress 7.1 于 8 月 19 日发布后，相关配置的站点开始出现致命错误。
WordPress 开发者博客精选编辑评分9191 WordPress 7.1 开发者前瞻：响应式区块样式、iframe 编辑器与 Abilities API 更新
WordPress 7.1 计划于 8 月 19 日发布，将加入响应式区块样式、伪状态与自定义状态、公开 SVG Icon API、始终采用 iframe 的文章编辑器，以及 Abilities API 执行与发现机制。
推荐理由：文章汇总 WordPress 7.1 的开发者变更与兼容性风险，并列出测试入口和升级前应检查的具体扩展点。
WP Tavern编辑评分6565 Patchstack 渗透测试揭示 WordPress 安全主机营销与实际防护的差距
Patchstack 使用30个已知插件漏洞，对多家 WordPress 主机进行标准化渗透测试并由独立观察者验证。结果显示，大多数针对 WordPress 的攻击仍可成功，即使不同主机采用相同安全工具，配置与使用方式也会带来明显不同的防护效果。研究认为安全主机宣传应说明具体防护边界，用户则需确认其安全方案是否真正理解 WordPress。
WordPress大学精选编辑评分9292 WordPress wp2shell 漏洞链影响 6.8.0 至 7.0.1，安全版本为 6.8.6、6.9.5 和 7.0.2
WordPress 核心 wp2shell 漏洞链可被匿名利用，影响 6.8.0 至 7.0.1 中的多个版本，官方已发布 6.8.6、6.9.5 和 7.0.2 安全版本。
推荐理由：文章梳理了漏洞链的触发条件、受影响版本与修复版本，并提供升级、Nginx 临时拦截和入侵排查步骤。
Gutenberg Times（区块编辑器）编辑评分4848 WordCamp US 2026 排期、iframed Post Editor 与 WooCommerce 11.0：Weekend Edition 369
WordCamp US 2026 公布首批 34 位讲者及四个主题赛道，活动将于 August 16–19 在 Phoenix 举行。WordPress 7.1 Beta 1、Beta 2 与安全更新 7.0.2 已发布，修复同时回移至 6.9.5 和 6.8.6；WooCommerce 11.0 beta 开放测试，新商店默认启用产品对象缓存，可提升可变产品速度 9–12%。