WordPress 7.1.2 修复核心严重漏洞：各分支的修复版本与如何确认自己的网站

2026 年 9 月 22 日，WordPress 发布 7.1.2 安全版，修复一个自评为严重级别的核心漏洞；修复范围从最新的 7.1 分支，一路回溯到 4.7 分支，各分支都有自己对应的修复版本。这个漏洞不需要登录就能触发，但要在服务器环境与启用的主题两边的前提都成立时，才可能导致远程代码执行。美国时间 9 月 25 日，美国网络安全和基础设施安全局（CISA）依据遭实际利用的证据，把这个漏洞列入已知遭利用漏洞（KEV）名录。不管网站现在用哪个分支，都值得回头确认一次版本号。

这一篇的资料在 2026 年 9 月 26 日查核，读的是 WordPress.org 的《WordPress 7.1.2 Release》发布文与《Dashboard screen》说明文档、GitHub 安全公告 GHSA-7hp8-65ch-5whp，以及 CISA 的公告；这里没有实际测试任何网站或攻击手法，也不提供主机商或主题的购买建议，只整理这些文档写了什么、没写什么。

9 月 22 日修复了什么：条件式的核心漏洞

WordPress.org 在 2026 年 9 月 22 日发布《WordPress 7.1.2 Release》，开头写的是“This security release features a fix for a critical severity security vulnerability.”（这个安全版修复了一个严重级别的安全漏洞），并写“Because this is a security release, it is recommended that you update your sites immediately.”（因为是安全版，建议立即更新网站）——用的是建议，不是强制。

发布文说明，一名未经身份验证、不需要登录的攻击者，在符合特定条件时可能触发这个问题；如果服务器环境与启用的主题两边的前提都成立，可能导致（can lead to）远程代码执行，不是必然发生。GHSA 另外点名了两种服务器环境，在官方镜像或默认设置下（其中一种限定特定 PHP 版本）就已经符合服务器端的前提；攻击手法与环境细节不在这里讨论。

这个漏洞有两个正式名称，并列呈现：GitHub 安全公告 GHSA-7hp8-65ch-5whp 把它命名为“Unauthenticated path traversal in page-template resolution leading to conditional RCE”（页面模板解析中未经身份验证的路径遍历，导致有条件的远程代码执行）；CISA 的命名则是“WordPress Core Remote File Inclusion Vulnerability”（WordPress 核心远程文件包含漏洞）。严重程度 Critical、CVSS 4.0 总体分数 9.2 是 GHSA 自己的评分，不是双方共同的分数。

哪些版本受影响、各分支的修复版本

GHSA 的受影响版本栏逐分支列出，从最新的 7.1 分支（7.1.0–7.1.1）一路列到 6.7、6.6 等旧分支，最旧列到 4.7 分支（4.7.0–4.7.36）；修复版本栏与受影响栏逐行对应；7.1、7.0、6.9、6.8 分支的版本号整理在下表，其余分支请看 GHSA 的逐分支表。读者要对照的是自己所在分支的修复版，不是一律装 7.1.2。

7.1.1 也在受影响范围内，代表就算网站已经更新到 7.1.1，还是要再更新一次。发布文写的是，出于善意（as a courtesy），这次修复回溯到目前仍可收到安全修复的所有分支，括号写“currently through 4.7”，也就是目前回溯到 4.7 分支为止。

发布文同一段也提醒，只有最新版本的 WordPress 受到积极支持；旧分支收到这次修复是善意回溯，不代表那个分支仍受积极支持。早于 4.7 的版本没有出现在 GHSA 的受影响表里，那是表格没有列，不代表这些版本不受影响。

怎么确认自己的网站：三个查核步骤

第一步是看版本号：网站控制台（Dashboard）首页默认会显示 At a Glance 小工具，依 WordPress.org 的说明文档，小工具底部会写出网站正在运行的 WordPress 版本（小工具被隐藏的话，可以在 Screen Options 面板勾选找回来）；把这个版本号对照上表或 GHSA 页面，确认是不是所在分支的修复版本。还不是修复版的话，发布文写的更新做法是进入控制台、点“Updates”、再点“Update Now”，也可以直接到 WordPress.org 下载 7.1.2 安装。

第二步，不要假设自动更新已经完成。发布文写的是“If you have sites that support automatic background updates, the update process will begin automatically.”（支持自动后台更新的网站，更新流程会自动开始），用的是会开始，不是已经完成；建议回头看版本号确认，不要只看有没有收到更新通知。

第三步，如果网站是托管或请人维护的，可以直接请维护者回报更新后的版本号——这是编辑给的建议，不是 WordPress 文档写的做法。

更新之外，网站的日常维护，如果平常没有整理，可以参考网站维护要做什么：备份、更新与故障报告的日常安排这一篇。

已遭利用代表什么、不代表什么

CISA 的已知遭利用漏洞（KEV）名录，是 CISA 依据实际遭利用的证据所维护的清单；美国时间 9 月 25 日，CISA 把这个漏洞加进 KEV 名录，命名为“WordPress Core Remote File Inclusion Vulnerability”，与 GHSA 的名称并列，不是取代。

CISA 的公告写明，相关指令要求美国联邦民事行政机关（FCEB）优先快速修复高风险漏洞，而且只适用于这些机关；对其他所有组织，CISA 只是鼓励采取风险导向的漏洞管理、优先修复 KEV 名录里的漏洞，这对台湾站长没有约束力。

CISA 的公告没有写受害数量、受害地区或攻击者身份，只写是依据遭实际利用的证据判断；WordPress 9 月 22 日的发布文与 GHSA 公告都没有提到这个漏洞已遭利用，遭利用的判断出自 CISA。

还不知道的事：文档没写的，别自己补

这一篇引用的四份文档都没有提到台湾，只能说文档没写，不能反过来说成台湾没有受影响。

GHSA 页面没有列出更新以外的临时缓解做法；换主题、删目录或改服务器设置之类的替代方案都不是 WordPress 提出的做法，要修复就是更新。

发布文没有说多少网站已经通过自动后台更新完成更新，这里同样没有这个数字；这个漏洞管的是 WordPress 核心（Core），发布文、GHSA 与 CISA 的公告谈这个漏洞时都没有提到插件，不能说装了安全插件就没事。

要自己再查最新状态，可以直接看 WordPress.org 的新闻页有没有更新的安全版本，以及 GHSA-7hp8-65ch-5whp 这则公告有没有变动；如果 WordPress 后续发布比 7.1.2 更新的版本，就照新版本安装。

2026 年科技新闻总整理：硬件、平台、电信与法规的重点

欧盟《网络弹性法案》通报义务开始适用：9 月 11 日起，谁要多快通报

• 科技与产业
• 科技新闻