今年两次，攻击者在修复程序公开后数小时内就开始利用关键的 WordPress 核心缺陷：7 月的 wp2shell 缺陷，以及 9 月 22（WordPress 7.1.2 发布的当天）的 CVE-2026-87902。如果您的站点等待每月维护窗口，那么您的补丁策略是首先要更改的。
7 月份 wp2shell 发生了什么
两个缺陷被追踪为 CVE-2026-60137（SQL 注入）和 CVE-2026-63030（任意代码执行），可以链接起来在WordPress服务器上运行代码而无需登录。Searchlight Cyber 报告称，它们影响WordPress6.9.0到6.9.4以及7.0.0 到 7.0.1，即使在没有插件的标准安装上也是如此。 WordPress 在版本 6.9.5 和 7.0.2 中发布了修复程序。
安全公司在披露后数小时内报告了第一起攻击，其他研究人员的概念验证漏洞不久后也出现了。 Automattic 告诉 TechCrunch，WordPress.com、Pressable、WPVIP 和 WP.cloud 在补丁公开之前就受到了保护，因此不自动更新的自托管网站面临的风险最大。
九月又发生了什么事22
9 月 22，WordPress 发布了7.1.2 版本，修复了 CVE-2026-87902，这是核心解析页面模板的一个严重缺陷。引用 WordPress.org 公告的报告在 CVSS 4.0 上对它进行了 9.2 评级，并表示它会影响从 4.7.0 到 7.1.1 的版本，除非应用了安全向后移植。 WordPress 还将修复程序反向移植到较旧的分支，包括 7.0.6 和 6.9.9。
据报道，Patchstack 在同一天 UTC 11:49 记录了第一次利用尝试。我们的 7.1.2 安全更新清单 涵盖在网站上验证的内容。
人工智能改变了什么，以及尚未被证实的
Techzine 在 wp2shell 之后引用了 WatchTower 的本杰明·哈里斯 (Benjamin Harris) 的话，他表示，概念验证代码过去在信息披露后大约一天内出现，现在在数小时内出现，部分原因是人工智能工具可以帮助研究人员和攻击者更快地分析和自动化。
模型供应商也在采取同样的行动。谷歌表示，其新的 Gemini 4 Argon 可以自主查找、验证和修补关键软件漏洞，并且首先为值得信赖的网络防御者提供早期访问权限。 OpenAI 在其定价页面上列出了单独的以网络为中心的模型。
这些都不能证明人工智能引发了特定的攻击。实际意义更窄：计划减少公共咨询和利用之间的时间。
您可以采用的补丁策略
这些目标是一个起点，而不是一个标准。根据您的风险和测试速度调整它们。
让这些想法落地。
从解决具体问题到建设完整网站，我们帮助您明确范围并完成实施。
聊聊我的网站高级 WordPress 安全解决方案分享您的目标。我们通常会在 4 小时内回复相关问题及实用的下一步方案。
五个步骤将其安装到位
- 知道你跑什么。 列出每个站点的核心、插件和主题版本。使用 WP-CLI：
wp core版本 wp core check-update wp插件列表 --update=可用 wp主题列表 --update=可用- 关注正确的来源。 关注 WordPress.org 的新闻源和主机的安全通知，并指定一个人每天阅读它们。
- 使用分期，但要有时间限制。 在副本上测试关键更新，检查关键过程，然后进行部署。如果测试停滞，请在生产补丁后进行测试。
- 用保护层覆盖间隙。 Web 应用程序防火墙可以在您完成修补之前阻止已知的漏洞利用模式。据 Techzine 报道，Cloudflare 为 wp2shell 开启了额外的检测规则。防火墙可以降低风险。它不是更新的替代品。
- 验证并记录。 请注意已安装的版本、谁检查了哪些内容以及哪些内容仍处于打开状态。
我们的 安全补丁分类指南 更详细地涵盖了决策顺序。
如果您在某个关键补丁上落后了
将运行受影响版本但未更新的站点视为可能受到损害。检查新的管理员帐户、更改的核心文件和不熟悉的 PHP 文件：
wp 用户列表 --role=管理员 wp 核心验证校验和如果出现任何问题，请停止更改并寻求帮助。我们的 紧急被黑网站恢复服务 可以帮助您控制问题并解决问题。
常见问题
我应该以多快的速度修补关键的 WordPress 漏洞？
目标是24小时，并且不超过72。在数小时内进行分类，然后在关键旅程通过快速测试后更新生产。
自动更新是否使补丁策略变得不必要？
不会。自动更新有所帮助，但并非每个网站都启用它们，而且插件和主题通常会单独更新。策略会告诉您谁进行检查、检查速度如何以及更新失败时会发生什么。
人工智能是否会降低WordPress的安全性？
我们审查的来源中没有任何内容表明 WordPress 本身变得更弱。消息人士描述的是漏洞披露后分析和利用的速度。
不确定您的网站是否已被覆盖？
我们跑 WordPress维护 和 安全 工作包括补丁跟踪、分阶段测试和监控。将您的站点列表发送给我们，我们会告诉您差距在哪里。
