WordPress 月报 · 2026 年 10 月
WORDPRESS热点新闻
核心漏洞修复与平台防护
本期覆盖2026年10月1日至10月31日。10月28日，WordPress 7.1.4安全更新发布，修复22个漏洞，其中核心更新流程存在未认证竞态漏洞，完整更新解压期间若命中可预测暂存路径，可能导致远程代码执行；该问题影响4.7.0至7.1.3，并已检测到利用尝试。PHP2Shell应急处置同步推进：Kinsta完成紧急补丁部署，并为两项CVE提供平台级防护；Wordfence截至10月28日尚未发现由此攻陷的WordPress站点，10月23日至27日在超过500万个受保护站点中记录约77600个相关请求。核心迭代方面，WordPress 7.2 Beta 2开放测试，继续增强管理体验和开发者API，涉及Abilities API、Data Views与DataForm。
核心更新漏洞
本版导读WordPress 7.1.4于10月28日发布，修复22个漏洞。影响4.7.0至7.1.3的核心更新流程未认证竞态漏洞，在完整更新解压期间命中可预测暂存路径时可能造成远程代码执行，相关利用尝试已被检测到。
WordPress 7.1.4 安全更新修复升级窗口未认证远程代码执行漏洞，已检测到利用尝试
WordPress 7.1.4 于 2026 年 10 月 28 日发布安全更新，修复 22 个漏洞，其中核心更新流程中的未认证竞态漏洞可导致远程代码执行。该漏洞影响 WordPress 4.7.0 至 7.1.3，攻击者须在完整更新解压期间命中可预测的暂存路径，普通实验环境中的利用窗口仅持续数秒。
PHP2Shell防护
本版导读Kinsta已完成PHP2Shell紧急补丁部署，并针对CVE-2026-109618和CVE-2026-109619提供平台级防护，官方更新涵盖PHP 8.2.35、8.3.36、8.4.27和8.5.12。Wordfence表示，截至10月28日尚未发现由此攻陷的WordPress站点；10月23日至27日，其在超过500万个受保护站点中记录约77600个相关请求。
Kinsta 博客10.30Kinsta 复盘 PHP2Shell 紧急补丁部署与平台级防护
Kinsta 已完成 PHP2Shell 紧急补丁部署，为 CVE-2026-109618 和 CVE-2026-109619 提供平台级防护。官方更新涵盖 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12，Kinsta 另从 Freexian 获得 PHP 7.4、8.0、8.1 的回补安全包。
PHP2Shell 状态更新：Wordfence 尚未发现被攻陷的 WordPress 站点
Wordfence 表示，截至 2026 年 10 月 28 日，其尚未发现通过 PHP2Shell 攻陷的 WordPress 站点。10 月 23 日至 27 日，Wordfence 在超过 5 million 个受保护站点中记录约 77,600 个相关请求，来源超过 2,000 个 IP，显示扫描和利用尝试仍在持续，但不能证明攻击已成功。
7.2测试进展
本版导读WordPress 7.2 Beta 2已开放下载测试，仅适用于测试环境或本地站点，不能用于生产或关键业务网站。相较Beta 1，本版继续增强管理体验和开发者API，并加入缺陷修复与多项细化，涉及Abilities API、Data Views和DataForm。
WordPress 7.2 Beta 2 发布，进入测试阶段
WordPress 7.2 Beta 2 已开放下载和测试，但仅适用于测试环境或本地站点，不能用于生产或关键业务网站。相较 Beta 1，本版继续增强管理体验和开发者 API，并加入缺陷修复与多项细化，涵盖 Abilities API、Data Views 和 DataForm 的服务端注册、REST API 灵活性、管理资源加载及现代 SVG 图标迁移。