WordPress 7.1.4 安全版 10 月 28 日釋出：公告列 12 項、說明頁算 22 個漏洞，含更新過程中可能被遠端執行程式碼的問題，4.7 以來各分支同日回補
趨勢新聞2026 年 10 月 29 日
WordPress 是架網站的免費軟體，可以拿來做公司官網、部落格，搭配 WooCommerce 外掛也能開網路商店。WordPress 10 月 28 日（官方公告日期）發布 7.1.4 安全版，一次修了一批漏洞，其中一個出在「更新 WordPress 的過程」本身，官方說可能導致遠端執行程式碼，也就是讓別人在你的主機上跑他指定的程式。官方公告寫：「因為這是安全版本，建議立即更新網站。」（本站譯）同一天，4.7 到 7.0 各舊分支也推出修補版。本站的讀法：用 WordPress 架官網或網店的台灣公司，最該確認網站是否已換成修補版。官方文件說多數網站預設會自動安裝這類小版本更新，但這可以被關掉，有沒有更新成功要看版本號。
我的網站要做什麼？
- 跑 7.1.x：官方公告說，支援自動背景更新的網站「更新程序會自動開始」（本站譯）。程序開始不等於一定完成，到後台「控制台 > 更新」確認版本號是 7.1.4。
- 還在舊分支：WordPress 版本發布頁列出，7.0.8、6.9.11、6.8.12、6.7.11、6.6.11、6.5.14、6.4.14、6.3.14、6.2.15、6.1.16、6.0.18、5.x 各分支的對應修補版（如 5.9.20、5.0.31），以及 4.9.35、4.8.34、4.7.39，發布日都是 10 月 28 日。官方版本查詢服務 10 月 29 日把這些都列為自動更新選項；實際更新到哪一版，以後台版本號為準。
- 自動更新被關掉了：官方文件寫明，在 wp-config.php 把
AUTOMATIC_UPDATER_DISABLED設為 true，會停掉所有類型的自動更新；把WP_AUTO_UPDATE_CORE設為 false，會停掉 WordPress 本體（核心）的自動更新。這類網站要手動更新。 - 4.6 或更舊：官方說明頁寫明這些版本「不再收到安全更新」（本站譯）。本站的讀法：要排升級。
官方另外提醒：「只有最新版的 WordPress 獲得積極維護」（本站譯），舊分支的回補是「出於善意」提供。本站的讀法：官方沒有保證會一直回補，長期停在舊分支不安全。
這次修了什麼：12 項還是 22 個？
兩個數字都出自官方。新聞公告列了 12 項問題，另外一項是更新內建的根憑證（因 eMudhra 憑證被撤銷）；7.1.4 的說明頁（HelpHub）列了 17 項問題或強化措施，並寫「WordPress 7.0 受全部 22 個漏洞影響」（本站譯）。兩頁列項粗細不同（公告把 Interactivity API 的多個 XSS 併成一條），官方沒給逐項對照。較舊的分支整體受影響較少：6.8 是 20 個，6.3 是 9 個，4.7 是 2 個。
最大宗是儲存型跨站腳本（stored XSS）：惡意程式碼先被存進網站，之後有人打開受影響的頁面或後台畫面時，可能在他的瀏覽器裡執行；每一項的觸發位置和受害對象不同。這次多數 XSS 標的是「Contributor+」，意思是至少要有「投稿者」等級的帳號（預設的投稿者能寫文章、不能自己發布）；另有幾項要作者或編輯等級。也有不必登入的：未發布的「自訂」（Customizer）變更可以被訪客看到。
本站的讀法：網站如果讓不熟的人拿到投稿者以上的帳號，例如開放外部投稿，需要登入的那幾項就多了被利用的入口；帳號只給自己人的網站，這類入口較少，但不能因此說整體風險低。官方沒有這樣分級，這是本站依權限標示推的。
「更新時被打」這一項，官方說了多少
公告的說法是：「WordPress 升級流程的一個弱點，可能在升級進行的時間窗口內導致遠端執行程式碼」（本站譯）；說明頁寫成「核心更新期間的競爭條件（race condition），可能導致遠端執行程式碼」（本站譯）。競爭條件指幾個動作同時進行時，結果受先後順序影響，攻擊者可能鑽這個時間差。
官方沒有寫攻擊者要具備什麼條件、窗口多長、哪些分支受這一項影響，也沒有因此要大家延後更新。
還不知道的事
本站 10 月 29 日查詢時，這批修補還沒出現在 WordPress 的 GitHub 安全通告頁，公告與說明頁也沒有列 CVE 編號或嚴重度分數。兩頁沒提到已遭利用，美國 CISA 10 月 28 日版的已遭利用漏洞目錄（KEV）也沒有新增 WordPress 條目。沒列入 KEV 不代表沒有人攻擊。本站 9 月報過的 CVE-2026-87902 則是修補當天就有資安公司記錄到攻擊嘗試。下一個大版本 7.2 預定 12 月 8 日推出，公告說已發布的 7.2 Beta 3 含所有適用的修補。