WordPress 7.1.4 修補升級流程及多項跨網站指令碼漏洞

主要來源公告：2026-10-28

本站刊登：2026-10-29 · 內容更新：2026-10-29（香港日期）

情報摘要

WordPress 於 10 月 28 日發布 7.1.4 安全更新，官方建議立即更新。修補包括升級期間可能導致遠端程式碼執行的競態問題，以及多項儲存型跨網站指令碼漏洞。

官方文件列出升級流程競態、資訊披露、權限及跨網站指令碼等問題，亦更新涉及 eMudhra 撤銷的內置根憑證。

HelpHub 列出的回補包括 7.0.8、6.9.11 及 6.8.12；不同分支受影響項目不同，不能一概而論。官方提醒，只有最新版本持續獲積極支援。

這是 WordPress 核心更新，與 PHP2Shell 所涉 PHP 執行環境漏洞不同；更新 WordPress 不能代替核對伺服器 PHP 修補狀態。

WordPress 核心；7.1 分支更新至 7.1.4，其他分支須使用各自修補版本。

WordPress 網站管理員、託管商及維護服務提供者

透過管理後台的更新頁或 WordPress 官方下載更新，完成後核對實際版本。不要只假設背景自動更新已成功。舊分支請核對 HelpHub 的對應修補版本，並規劃遷移至持續支援版本。

編輯評估：更新涉及潛在遠端程式碼執行，且官方要求立即更新；不是 WordPress 官方統一 CVSS 評分。

官方本次公告沒有宣稱已出現廣泛野外利用；沒有已核實香港受害個案。

部分問題需要特定帳戶角色或升級時間窗，不能描述為任何訪客均可隨時接管全部 WordPress 網站。

本篇沒有為未逐項核對的漏洞補上 CVE 編號或統一 CVSS 分數。