WordPress 6.9.10 发布：维护版含 7 项安全修复

WordPress.org 文档显示，WordPress 6.9.10 于 2026 年 10 月 6 日向公众发布。官方将其定性为安全维护版本，并写明本版包含 7 项安全修复，建议站点立即升级。页面作者署名为 Jb Audras，首次发布于 10 月 6 日，文档本身于 10 月 15 日还有过更新。[1]

据版本说明，可通过后台「仪表盘 → 更新」自动安装，也可前往官方 releases 下载页获取安装包。安全团队感谢经 HackerOne 负责任披露的报告者，并逐条列出本版修复内容：[1]

• 评论管理页可通过待审评论触发的存储型 XSS（Trail of Bits 与 OpenAI 协作报告）

• WP_Http::make_absolute_url() 中的拒绝服务问题（Anthropic 报告）

• WordPress WXR 导出中的二阶 SQL 注入（Anthropic 报告）

• Author 角色用户可置顶文章的权限弱点（Anthropic 报告）

• 未认证情况下可泄露私密及未发布文章评论（Patchstack 的 Ananda Dhakal 报告）

• Imgur 嵌入相关 XSS（Zhengyu Liu、Jingcheng Yang、Gavin Zhong 报告）

• 传入 {status}_{type} 钩子的参数可被伪造、导致动作名冲突（WordPress 安全团队 Alex Concha 报告）

官方同时说明，相关修复也以礼遇方式提供给受影响的旧分支，但强调 只有最新版本处于积极支持状态。变更日志列出修订文件，覆盖导出脚本、REST 文章控制器、Customize、HTTP、oEmbed、查询与文章等核心路径；本版未修订软件包。[1]

站点维护者可按既有更新流程安装 6.9.10，升级前后建议备份数据库与文件，并确认插件、主题在新版本下的兼容性。

来源

[1] Version 6.9.10 – WordPress.org Documentation，2026年10月6日（页面标注首次发布；最后更新 2026年10月15日）。

#WordPress #6.9.10 #安全修复 #CMS #开源