漏洞与安全动态：WordPress 核心与插件漏洞披露、补丁发布、被黑与恶意软件事件，以及加固清单。
Jetpack 16.1.3 修复了自 12.0 起存在于 Import 功能的严重漏洞，目前没有该漏洞被利用的证据。导入文章元数据时未经限制反序列化数据，可让有导入权限的用户触发 PHP 对象构造并可能发动进一步攻击；同版本还加强了 Media API 的文章编辑权限检查，并清理 Reader 转发流程从 URL 取得的数据。
推荐理由：原文披露了 Jetpack 16.1.3 的严重漏洞成因、影响范围及 42 个安全版本，可用于核对站点版本与升级状态。
WordPress 核心安全团队启动 Core Security Initiative，以构建更安全、更稳固的 WordPress。该计划包括改进端到端测试与安全发布流程、扩充团队和志愿者处理未结报告与已知问题，以及使用 AI 辅助扫描提前发现漏洞。发现 WordPress 核心漏洞应通过 hackerone.com/wordpress 官方渠道报告。
推荐理由：WordPress 核心安全团队公布了安全发布、报告积压处理和 AI 辅助漏洞扫描三项协同计划，并给出了官方漏洞报告入口。
WordPress 7.1 引入 Abilities API、响应式区块样式、SVG Icon API、Playlist 和 Tabs 等开发者功能，并新增无障碍工具提示与焦点改进。
推荐理由：文章汇总了 WordPress 7.1 的开发者功能、无障碍改进和兼容风险，并说明 7.0.4 的安全修复，可作为发布前测试与升级检查的参考。
WordPress 7.0.3 作为安全更新修复 12 个漏洞，包括登录页预认证 XSS、存储型 XSS 和多站点权限提升，补丁已回移植至 4.7 及以上受支持分支。
推荐理由：文章汇总了 WordPress 7.0.3 安全更新、7.1 RC、7.1 兼容性变化及 Gutenberg 与周边生态进展，并提供测试重点。
WordPress 核心 wp2shell 漏洞链可被匿名利用，影响 6.8.0 至 7.0.1 中的多个版本，官方已发布 6.8.6、6.9.5 和 7.0.2 安全版本。
推荐理由：文章梳理了漏洞链的触发条件、受影响版本与修复版本，并提供升级、Nginx 临时拦截和入侵排查步骤。
WordPress Security 团队正持续加固组织内 GitHub Actions 工作流，以降低供应链攻击风险。团队已收紧权限、移除不安全行为、归档 20 个无维护仓库，并在 wordpress-develop 与 gutenberg 引入 Actionlint 和 Zizmor，后续计划在组织级统一执行扫描，并研究适用于所有仓库的安全政策。
推荐理由：WordPress 官方汇总了过去 18 个月的 GitHub Actions 工作流加固措施，并说明组织级扫描与安全政策的推进方向。
All in One SEO 4.9.3 修复了 REST API 端点缺少权限检查导致的漏洞，影响所有版本，包括 4.9.2 及更早版本。贡献者级别用户可能借此查看全局 AI 访问令牌，并滥用 AIOSEO AI 积分和 AI 功能生成内容或消耗积分。
推荐理由：文章说明了漏洞影响版本、权限检查缺失的成因及修复版本，便于站点管理员核对风险并安排升级。
WordPress 安全团队将于 2025 年 7 月停止为 WordPress 4.1 至 4.6 提供安全更新，官方仅支持最新版本。截至 2025 年 6 月，运行这些旧版本的站点占比远低于 1%；4.7 以下版本的管理后台将显示无法关闭的更新提示，并在最后更新中明确告知已不再获得安全更新。
推荐理由：WordPress 安全团队将终止 4.1 至 4.6 的安全更新，旧版本用户可据此安排升级。