三个月 5 次紧急更新，WordPress 最近漏洞为什么这么多？
最近这段时间，很多常年折腾 WordPress 的站长，或者一直盯着安全动态的开发人员，估计都有同一种感觉：怎么漏洞公告一个接一个？
紧急安全更新一波没平一波又起，光是近三个月就有 5 次，连「wp2shell」这种高危攻击链都冒出来了：
| 日期 | 版本 | 修复内容 |
|---|---|---|
| 2026/10/6 | 7.1.3 | 7 个安全漏洞 + 4 个 Bug |
| 2026/9/22 | 7.1.2 | 紧急安全版，修复 1 项高危远程代码执行（RCE） |
| 2026/9/17 | 7.1.1 | 11 个安全漏洞+38 个 Bug |
| 2026/8/6 | 7.0.3 | 12 个安全漏洞 |
| 2026/7/17 | 7.0.2 | 高危漏洞「wp2shell」，无需密码即可控制网站 |
其中加粗的两次（7.1.2 和 7.0.2）都是只针对单一高危漏洞单独发布的版本，属于那种晚一天都不行的修复。
这难免让人产生一种疑问：WordPress 是变脆弱了，还是开源生态不如从前了？所以今天就聊聊，为什么最近 WordPress 漏洞看起来越来越多，以及这事儿和 AI 到底有没有关系。
为什么最近 WordPress 漏洞越来越多？
1. AI 时代下，漏洞挖掘的门槛被拉到极低
在过去，想要挖掘像 WordPress 内核或复杂主题/插件的深层漏洞，基本是顶级安全研究员的活儿，靠长年累月的经验堆出来，时间和精力的门槛都极高。
但进入 AI 时代之后，规则变了，普通开发者、安全爱好者甚至黑客，都可以借助大模型（AI Agent、自动化代码审计脚本）对庞大的开源代码库进行高效率的静态扫描。编写规则、定位瑕疵、构造 POC 的门槛被拉低到了前所未有的地步。
甚至已经有专门的自主渗透测试（Autonomous Penetration Testing）平台（pwn.ai ）出现，用 AI 智能体代替传统人工渗透测试，做到 24 小时不停、机器速度级别的漏洞挖掘和验证。
换句话说，不是漏洞突然变多了，是把漏洞翻出来的速度快了。
2. 漏洞频出反而是件好事
看到这里有人可能会慌：漏洞这么多，还能用吗？
恰恰相反，漏洞被高频曝光并迅速修复，本质上是一件大好事。
以前的漏洞可能躺在代码里几年都没人发现，长期沦为黑客在野攻击的温床。现在有了 AI 和自动化工具，成千上万的潜在隐患被提前挖出来并且摊在了阳光下，倒逼官方和开发者以极快的速度堵上。
这就是软件工程里说的「安全左移」，把安全问题尽量提前到开发阶段解决，漏洞的透明化和高频曝光，非但没有让 WordPress 变弱，反而通过高强度的迭代，让整个生态变得更结实。
一句话：怕的不是有漏洞，是漏洞没人挖、没人报、没人修。
3. 绝大部分漏洞是插件和主题造成的！
很多时候一听说 WordPress 爆高危漏洞，大家先慌自己。但现实是，真正被黑客打进去的站点，绝大多数问题不在内核。
- 内核响应极快：内核偶尔也出高危，但官方核心团队对安全问题的响应速度非常快，补丁下发也极其迅速。
- 插件才是重灾区：贪便宜下载的破解版、盗版商业主题插件，还有那些常年不更新的僵尸插件，才是黑客真正长驱直入的后门。
与其天天盯着内核漏洞焦虑，不如先把自己的插件目录和代码来源管好。
没有零漏洞绝对安全的 CMS 和平台
有漏洞并不可怕，可怕的是你以为它很安全。
在知乎等技术社区，经常能看到有人为博眼球、立人设或者贩卖焦虑，推荐各种所谓「小众、轻量、安全」的冷门 CMS，吹得神乎其技，号称比 WordPress 安全一百倍。一个字都别信！！！
那些平时无人问津、社区冷清的自研系统或者小众 CMS，之所以给人「一个漏洞都没有」的印象，绝对不是因为代码写得有多完美，纯粹是因为没人去挖，也没进入攻击者的视野。
一旦你把它们用在生产系统上，等真正有心怀不轨的黑客或自动化脚本盯上时，由于缺乏长期的社区审计、公开透明的漏洞修补机制，往往一打一个准，直接全盘崩溃。
开源软件的真正优势正在于此：在阳光下被全球千万级站点、无数安全研究员和 AI 脚本“反复炙烤”并持续修补的代码，远比藏在黑箱里的代码要安全一万倍。
也有人被安全搞怕了，就去转投 SaaS 建站平台（如 Wix、Shopify 等）或者某些号称绝对安全的闭源商业系统，觉得省心。这里有两个绕不开的问题：
1. 数据主权：在开源生态中，你的数据库和核心资产掌握在自己手里；而在闭源平台，你受制于人。
2. 黑箱风险：闭源系统不是没有漏洞，而是漏洞被官方“捂在黑箱里”悄悄修复，或者根本无人审计。一旦平台出现安全事故或商业变故，站长毫无招架之力。
WordPress 把安全主动权交还给用户。虽然需要自己操心更新和备份，但你拥有 100% 的数据主权、完全可控的技术栈和无数成熟的安全加固方案。
无法及时升级 WordPress 大版本？
WordPress 支持「向下兼容」
说完大方向，说说站长的实际痛点：大版本升级，可能因为老旧主题、定制插件的兼容性问题，把网站升翻车。
那如果暂时不能升到最新大版本，是不是就只能裸奔了？当然不是。
WordPress 官方对于重要安全补丁，拥有非常强大的向下兼容与同步下发机制（官方甚至能一路向下兼容支持到历史的 4.7 分支）。
同一个安全补丁，新分支和上一个分支是同一天下发的。官方的主力精力确实放在最新大版本上，但旧分支并没有被放弃，关键安全漏洞照样能拿到官方保障。
如果你的网站由于业务原因必须停留在某一个大版本分支（例如 7.0 分支），你完全不需要冒险去跨版本升级到 7.1。你只需要：
第一步，确认目标版本：前往 WordPress 官方历史版本下载页面：
https://wordpress.org/download/releases/
第二步，下载对应小版本：下载你所在主分支的最新安全小版本，比如停在 7.0 分支的话，现在是 7.0.7。
第三步，覆盖更新：通过 FTP 或者服务器 SSH 命令行做覆盖更新，然后登录后台升级数据库即可。
这里有更详细的说明：WordPress 最近高危漏洞频发，不想/不能大版本升级怎么办？
用好这个机制，就能在业务兼容性和系统安全性之间找到平衡点。对普通业务站点来说，把核心和插件的小版本自动更新打开，让机制干活，才是当前这种高频 AI 扫描时代最省心的防御策略。
多说两句
WordPress 出任何漏洞都是软件开发的常态，及时升到官方最新版，或者你所在分支的最新安全小版本，就够了。
在这个 AI 赋能、漏洞也更加透明的时代，我们更该看清本质：敢于暴露漏洞、直面问题并且高频迭代的开源生态，远比那些自诩完美无瑕的黑箱冷门系统更值得信赖。
下次再看到有人吹某某小众 CMS 比 WordPress 更安全，笑笑而过就好，千万别信。
