WordPress.com 已修复近期两个关键 PHP 漏洞，自建站点需立即更新

今天，PHP 项目发布了针对两个严重漏洞的修复，这些漏洞可能允许未经身份验证的远程代码执行。PHP 是 WordPress 运行所使用的编程语言，因此它关乎每一个 WordPress 站点。

如果你的站点托管在 WordPress.com 上，你无需采取任何措施即可确保站点不受这些漏洞影响。

你的站点已经受到保护，可免受最近披露的 PHP 安全问题影响。Automattic 与 PHP Security 团队密切合作，确保我们平台托管的所有站点都尽早得到保护，并确保所有由 Automattic 托管的站点（包括 WordPress.com、WordPress VIP、WP Cloud、Pressable 和 Tumblr 上的站点）都安全无虞。如果你使用自己的服务器，请立即更新。

为何你无需费心处理

在 WordPress.com 上，PHP 的安装、维护和补丁更新都由我们在基础设施层面负责，而不是由你负责。我们的安全团队提前为此次发布做好了准备，因此平台上的每个站点都得到了全面保护。

这就是自行运维与托管服务（例如 WordPress.com 提供的服务）之间的区别。在许多主机上，站点所有者需要负责安全事务：更新软件、安装安全插件、监视威胁。在 WordPress.com 上，这些工作由我们为你处理。

WordPress.com 如何每天保护你的站点

本周的消息并不意味着我们的团队只做了一次性的工作；我们确保 WordPress.com 站点始终具备这些保护措施：

• 自动更新：我们会自动让你的 WordPress 保持最新版本。
• 默认加密：每个 WordPress.com 站点（包括自定义域名）都通过 SSL 提供服务，不安全的请求会被重定向至 HTTPS。
• 每日恶意软件扫描：Jetpack Scan 每天都会检查每个 WordPress.com 站点，查找危险插件、主题和恶意软件。我们的安全团队会处理发现的问题；如果必须移除某些内容，我们会通过电子邮件通知你。
• 部署在站点前的防火墙：我们的 Web 应用防火墙会检查传入流量，并拦截可疑 IP 地址、恶意机器人及异常活动。
• 监控：我们会监视可疑活动，包括暴力破解登录尝试和 DDoS 攻击；如果你的站点宕机，我们会向你发出警报。
• 备份：我们会定期备份站点数据，更高等级套餐的用户可以从仪表板访问每日备份。

你需要做的部分

当然，安全需要双方共同参与，你仍可以采取一些措施来确保站点安全：使用强密码、开启两步验证、保持账户邮箱为最新，并定期检查插件和用户角色。

你无需安装单独的安全插件，而且某些安全插件可能会干扰你使用 WordPress.com 时已获得的保护措施。

任何服务都无法承诺绝对安全，我们也不会假装可以做到。在 WordPress.com 上，解决安全问题是我们的工作，而不是你的工作。

确保你的站点安全可靠