WordPress 7.0.7发布：含七项安全修复，建议立即更新

WordPress 官方文档写明：2026年10月6日，WordPress 7.0.7 向公众发布。这是安全版本，含七项安全修复，官方建议站点立即更新。版本列表页同步登记该点版本；同日维护线上还有面向 7.1 分支的 7.1.3 等发布。[1][2]

据《Version 7.0.7》文档，本次修复包括：评论管理页上的存储型 XSS（可通过待审评论触发，Trail of Bits 与 OpenAI 协作报告）；WP_Http::make_absolute_url() 中的拒绝服务问题（Anthropic 报告）；WXR 导出中的二阶 SQL 注入（Anthropic 报告）；作者角色用户可将文章设为置顶的权限问题（Anthropic 报告）；未认证情况下披露私密与未发布文章评论（Patchstack 的 Ananda Dhakal 报告）；Imgur 嵌入相关的 XSS（Zhengyu Liu、Jingcheng Yang、Gavin Zhong 报告）；传给 {status}_{type} 钩子的可伪造参数可能导致动作名冲突（WordPress 安全团队 Alex Concha 报告）。[1]

官方表示，作为惯例，这些修复也已提供给仍受影响的旧分支；同时提醒：只有最新版本的 WordPress 才处于积极支持状态。变更涉及的文件包括导出、HTTP、oEmbed、REST 文章接口、查询与部分后台脚本等；文档称本次无软件包（packages）修订。[1]

更新可在后台「仪表盘 → 更新」完成，或从 wordpress.org 下载发布包。版本年表显示，7.0 主线代号 Louis Armstrong；下一规划大版本 7.2 计划于2026年12月10日前后。站点管理员应以官方更新提示与自身环境回归测试为准。[1][2]

对仍停留在 7.0.x 的站点，7.0.7 是该分支可见的最新安全点版本之一；若已升级到 7.1 线，应关注同日发布的 7.1.3 维护与安全更新，避免只改一边。升级前建议备份数据库与上传目录，并在维护窗口验证登录、评论与常用插件兼容性。

来源

[1] WordPress.org Documentation：《Version 7.0.7》，发布于2026年10月6日。

[2] WordPress.org Documentation：《WordPress Versions》，页面最近更新约2026年10月15日。

#WordPress #安全更新 #7.0.7 #CMS #开源