WordPress Core Security Initiative 两个月内完成 7 次核心安全更新

两个月前，我们启动了核心安全计划（Core Security Initiative）：三大支柱，一个目标——打造更强大、更安全的 WordPress。以下是目前的进展、我们已经做出的改变，以及你可以如何提供帮助。

数量

大约十年来，WordPress HackerOne 项目每月收到 20 至 30 份报告。7 月收到了 450 份，8 月收到了 773 份。项目页面目前显示过去 90 天内共有 2,306 份报告。今年我们收到的报告已超过 3,000 份，这比过去十二年的总和还多。

其中很多都是借助 AI 工具加速的真实研究，这正在让 WordPress 变得更安全。这也意味着报告提交后的所有环节（分类、修复、回移植、测试、发布）都必须加速。这正是本项计划的目的。

A：更好的发布流程

WordPress 已在 41 天内发布了四个安全版本：9 月 17 日的 7.1.1、9 月 22 日的 7.1.2、10 月 6 日的 7.1.3，以及 10 月 28 日的 7.1.4。自 7 月中旬以来，核心已发布七个安全版本，修复了超过 50 个严重或高危漏洞。每项修复都会应用到仍在接收安全更新的所有分支，最早可追溯至 4.7。

每个版本都有一支固定的小组，成员包括值得信赖且经验丰富的贡献者，并承担明确职责：发布负责人、核心提交者、负责构建软件包的 Mission Control 成员、用于启用自动更新和语言包的 WordPress.org 提交者、HelpHub 编辑员，以及 Gutenberg 负责人。发布日前，所有人都清楚自己负责的部分。版本分两批发布，先发布使用最广泛的版本，再发布较旧的分支，从而让尽可能多的站点尽早得到保护。

我们还在自动化耗时的环节。过去，每项修复都要手动在最多 25 个分支上运行脚本。现在，不涉及安全敏感内容的工具以公开形式存放在 core-release-utils 中。目前，安全发布的 109 个步骤中有 73% 已实现自动化。我们有意保留了一些阻力，例如只有少数人能够打包发布版本，这有助于防范供应链攻击等威胁。

B：清理积压报告

9 月 1 日，我们更新了项目范围，让研究人员将注意力集中在具有明确安全影响的问题上。我们还开发了一套由 AI 驱动的分类系统，用于读取新报告、安全地复现问题，并发布摘要和建议（是否有效、严重程度等），最终判断仍由我们的安全研究人员作出。今年我们已关闭近 3,000 份报告。未分类队列从 359 份降至两位数，我们正努力让它保持在这一水平。

C：利用 AI 攻克漏洞

仅仅响应报告还不够，我们希望在其他人之前发现漏洞。我们构建的智能体工具可用于分类新报告，它会读取代码并检查报告是否成立；现在，我们已让它转向另一个方向：在任何人报告之前，主动在核心代码中寻找漏洞。我们使用开放权重模型和专门构建的测试框架运行这些工具，其发现的问题也会经过同样的发布流程。

我们还让 WordPress 加入了 Anthropic 的 OSS Scanner，它使用 Anthropic 最强的模型为开源项目提供免费安全扫描。我们已经开始处理首次扫描结果中标出的问题，并在发布公告中致谢 Anthropic。

你可以如何提供帮助

研究人员：请在通过 HackerOne 提交报告前阅读更新后的指南。一份清晰且影响重大的报告，比十份信息量有限或超出范围的报告更有帮助。

组织：如果您的业务依赖 WordPress，请帮助我们保持这一节奏！最有帮助的支持方式是资助人员开展分类分流和发布工作，并为漏洞赏金计划作出贡献。

贡献者：发布工具已开放至 core-release-utils；在发布日，您可以在 Making WordPress Slack 的 #core 频道中协助测试软件包。

感谢安全团队、核心提交者以及每一位参与其中的人的付出。我们正在行动，也欢迎更多人加入我们。