WordPress 周报 · 2026 年第 44 周 · 10.26 — 11.01
WORDPRESS热点新闻
WordPress 7.1.4安全更新与7.2测试推进
本期覆盖2026年10月26日至11月1日。WordPress 7.1.4 于10月28日发布，集中修复22个漏洞，其中核心更新流程的未认证竞态漏洞可导致远程代码执行，且已出现利用尝试。PHP2Shell 风险持续受到关注，Kinsta 完成紧急补丁和平台级防护，Wordfence 暂未发现受攻陷站点，但监测到大量相关请求。核心开发方面，WordPress 7.2 Beta 2 开放测试，继续改进管理体验、开发者 API 与相关功能。
核心安全更新
本版导读WordPress 7.1.4 于10月28日发布，修复22个漏洞。其核心更新流程存在未认证竞态漏洞，攻击者可能在解压期间利用可预测的暂存路径实现远程代码执行，影响 WordPress 4.7.0 至7.1.3，官方已检测到利用尝试。
WordPress 7.1.4 安全更新修复升级窗口未认证远程代码执行漏洞，已检测到利用尝试
WordPress 7.1.4 于 2026 年 10 月 28 日发布安全更新，修复 22 个漏洞，其中核心更新流程中的未认证竞态漏洞可导致远程代码执行。该漏洞影响 WordPress 4.7.0 至 7.1.3，攻击者须在完整更新解压期间命中可预测的暂存路径，普通实验环境中的利用窗口仅持续数秒。
PHP2Shell 防护
本版导读Kinsta 已完成 PHP2Shell 紧急补丁部署，为 CVE-2026-109618 和 CVE-2026-109619 提供平台级防护，并更新多个 PHP 版本。Wordfence 在10月23日至27日于超过500万个受保护站点中记录约7.76万个相关请求，但截至10月28日尚未发现通过该漏洞攻陷的 WordPress 站点。
Kinsta 博客10.30Kinsta 复盘 PHP2Shell 紧急补丁部署与平台级防护
Kinsta 已完成 PHP2Shell 紧急补丁部署，为 CVE-2026-109618 和 CVE-2026-109619 提供平台级防护。官方更新涵盖 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12，Kinsta 另从 Freexian 获得 PHP 7.4、8.0、8.1 的回补安全包。
PHP2Shell 状态更新：Wordfence 尚未发现被攻陷的 WordPress 站点
Wordfence 表示，截至 2026 年 10 月 28 日，其尚未发现通过 PHP2Shell 攻陷的 WordPress 站点。10 月 23 日至 27 日，Wordfence 在超过 5 million 个受保护站点中记录约 77,600 个相关请求，来源超过 2,000 个 IP，显示扫描和利用尝试仍在持续，但不能证明攻击已成功。
7.2版本测试
本版导读WordPress 7.2 Beta 2 已开放下载和测试，但仅适用于测试环境或本地站点，不建议用于生产或关键业务网站。相比 Beta 1，本版继续增强管理体验和开发者 API，并完善 Abilities API、Data Views、DataForm 等功能，同时加入缺陷修复与多项细化。
WordPress 7.2 Beta 2 发布，进入测试阶段
WordPress 7.2 Beta 2 已开放下载和测试，但仅适用于测试环境或本地站点，不能用于生产或关键业务网站。相较 Beta 1，本版继续增强管理体验和开发者 API，并加入缺陷修复与多项细化，涵盖 Abilities API、Data Views 和 DataForm 的服务端注册、REST API 灵活性、管理资源加载及现代 SVG 图标迁移。