WordPress 核心安全计划推行两个月，报告处理与漏洞修复显著提速
X-post: The Core Security Initiative: two months in
WordPress 核心安全计划启动两个月，HackerOne 报告量升至每月数百至 770 余份，程序页面显示过去 90 天有 2,306 份报告。团队在 41 天内发布 7.1.1、7.1.2、7.1.3 和 7.1.4，已关闭 50 多个 Critical 或 High 漏洞，并采用 AI 辅助分流、主动漏洞发现及 OSS Scanner。
文章以报告量、发布节奏、积压处理和自动化比例为数据，呈现 WordPress 核心安全工作如何提速。
两个月前，我们启动了核心安全计划（Core Security Initiative）：三大支柱，一个目标，让 WordPress 更强大、更安全。以下是目前的进展、我们已经做出的改变，以及你可以如何提供帮助。
数量
大约十年来，WordPress HackerOne 计划每月收到 20 到 30 份报告。7 月收到 450 份，8 月收到 773 份。该计划页面目前显示过去 90 天内共有 2,306 份报告。今年我们收到的报告已超过 3,000 份，比过去十二年的总和还多。
其中大量是借助 AI 工具加速的真实研究，这正在让 WordPress 变得更安全。这也意味着一份报告提交后的所有环节（分类、修复、向旧版本移植、测试、发布）都必须加速。这正是这项计划的目的。
A：更好的发布流程
WordPress 已在 41 天内发布了四个安全版本：9 月 17 日发布 7.1.1，9 月 22 日发布 7.1.2，10 月 6 日发布 7.1.3，10 月 28 日发布 7.1.4。这是自 7 月中旬以来的第七个核心 核心是运行 WordPress 所需的软件集合。核心开发团队负责构建 WordPress。安全版本，已修复超过 50 个严重或高危漏洞。每项修复都应用于所有仍在接收安全更新的分支，最早可追溯至 4.7。
每个版本都有一个专项小组，由值得信赖且经验丰富的贡献者组成，并承担明确职责：发布负责人、核心提交者、一名负责构建软件包的 Mission Control 成员、一名 WordPress.org WordPress 用户创建和分享代码的社区网站。你可以在此处下载 WordPress 核心、插件和主题的源代码，这里也是社区交流与组织的中心。 https://wordpress.org/ 提交者（负责启用自动更新和语言包）、一名 HelpHub 编辑，以及一名 Gutenberg Gutenberg 项目是 WordPress 的新编辑器界面。该编辑器改进了创建新内容的流程和体验，让编写富文本内容变得简单得多。它使用“区块”来增加内容表现力，而不是使用短代码、自定义 HTML 等。 https://wordpress.org/gutenberg/ 负责人。发布日前，每个人都清楚自己的职责。版本分两批发布，先发布使用最广泛的版本，再发布较旧的分支，让尽可能多的网站尽早获得保护。
我们还在将耗时环节自动化。过去，将修复移植到旧版本意味着每次都要手动在最多 25 个分支上运行脚本。现在，不涉及安全敏感内容的工具已公开放在 core-release-utils 中。今天，安全发布的 109 个步骤中有 73% 已实现自动化。我们有意保留了一些限制，例如只有一小组成员能够打包发布版本，这有助于防范供应链攻击之类的问题。
B：清理积压
9 月 1 日，我们更新了该计划的范围，让研究人员专注于具有明确安全影响的问题。我们还开发了一套由 AI 驱动的分类系统，用于读取收到的报告、安全地复现问题，并发布摘要和建议（是否有效、严重程度等），最终决定仍由我们的安全研究人员作出。今年我们已关闭近 3,000 份报告。尚未分类的队列从 359 份降至两位数，我们正努力将这一数字维持在低位。
C：利用 AI 击败漏洞
仅仅回应报告还不够，我们希望在任何其他人之前发现漏洞。我们构建的用于分类处理新报告的智能代理工具，可以读取代码并检查报告是否站得住脚；如今我们将其反向使用：在任何人报告漏洞之前 hunting for vulnerabilities in core。我们正使用开放权重模型和专门构建的测试框架运行它，而它发现的问题也将经过同样的发布流程。
我们还让 WordPress 加入了 Anthropic 的 OSS Scanner，使 开源 开源是指原始源代码可自由获取，并可再分发和修改的开源软件。开源软件**必须**通过许可模式交付，参见 GPL。 项目免费获得由 Anthropic 最强模型执行的安全扫描；我们也已开始处理首次扫描结果所标记的问题，并在发布公告中注明 Anthropic 的贡献。
你可以如何提供帮助
研究人员：在通过 HackerOne 提交报告之前，请阅读更新后的指南。一份清晰且影响重大的报告，比十份信息量有限或超出范围的报告更有帮助。
组织：如果你的业务依赖 WordPress，请帮助我们保持这一节奏！最有帮助的方式是资助人员参与分类处理和发布工作，并为漏洞赏金计划作出贡献。
贡献者：发布工具已在 core-release-utils 中开放；在发布日，你可以前往 Making WordPress Slack，通过 #core 频道帮助测试软件包。
感谢安全团队、核心提交者，以及每一位参与其中的人。我们正在行动，也欢迎更多人加入我们。
来源：Make WordPress Core（核心开发） · https://make.wordpress.org/core/2026/10/29/xpost-the-core-security-initiative-two-months-in/
部分链接为推广/关联链接。