2026年10月12日 · 独立站技术动态
10月6日，WordPress官方为6.7老分支推送6.7.10安全版本，一次性修复7项漏洞。和以往不同的是，这批漏洞里超过半数由AI公司报告——OpenAI、Anthropic的名字密集出现在致谢名单里。对还停留在6.x分支、没有跟随7.1主线的跨境独立站来说，这次更新没有观望余地：官方明确标注「建议立即更新」，而评论管理页的存储型XSS漏洞，恰好打在电商站点最依赖的用户互动区。
7项修复清单：评论区XSS最危险
按官方文档披露，7项修复里最值得电商站点警惕的是评论管理页的存储型XSS——攻击者可以通过一条待审核评论注入恶意脚本，管理员在后台点开审核队列的瞬间就可能中招，进而被窃取后台会话。这条漏洞由Trail of Bits与OpenAI联合报告。其余修复包括：WP_Http::make_absolute_url()方法的DoS问题、WXR导出功能的二阶SQL注入、作者角色可违规置顶文章的权限弱点（这三项均由Anthropic报告），以及私密文章评论可被未授权读取、Imgur嵌入XSS、钩子参数伪造各一项。
对WooCommerce店铺而言，评论区往往与商品评价、问答模块共用底层组件。一条带毒的「买家评论」如果绕过审核插件直达后台，后果不只是挂马，还可能是订单数据被拖库。
AI公司为什么开始批量挖CMS漏洞
这份致谢名单透露了一个行业信号：大模型厂商正在把代码审计能力产品化输出。Anthropic独立报告了3项漏洞，OpenAI以协作身份参与1项——AI安全团队已从「给自己模型找茬」转向「给整个互联网基础设施做体检」。对站长来说这是双刃剑：一方面漏洞被更快发现和修复，另一方面同样的能力落到攻击者手里，漏洞从披露到被利用的窗口期会进一步压缩。这正是官方在公告里反复强调「立即更新」的潜台词。
6.x分支站点的更新路径
第一步，后台「仪表盘→更新」确认当前版本号，6.7.x用户会直接看到6.7.10推送；第二步，更新前完整备份数据库与文件；第三步，更新后重点回归测试评论审核、商品评价提交、文章导出三项功能；第四步，登录主机面板确认PHP版本不低于7.2，老分支对运行环境更敏感。如果站点有 staging 环境，先测再上是底线。另外提醒一句：官方再次明确只有最新分支受长期支持，6.7.10这类回迁修复属于「礼遇性质」，长期来看迁移到7.1主线才能持续拿到安全补丁。
安全更新行动建议
- 本周内完成6.7.10更新，不要等下一次维护窗口；
- 更新后立即清空待审评论队列，逐条人工复核；
- 检查评论审核插件是否拦截含链接与脚本的提交；
- 制定向7.1主线迁移的时间表，别长期停留在老分支；
- 开启文件完整性监控，盯防核心文件被篡改。
常见问题（FAQ）
我的站已经是7.1.3，还需要管6.7.10吗？
不需要。6.7.10是面向6.7分支的回迁安全版，7.1.3已包含同类修复，保持7.1主线自动更新即可。
更新会影响WooCommerce插件吗？
本次为核心安全修复，不涉及API变更，主流插件不受影响；但更新前备份与更新后回归测试结账流程仍是规定动作。
AI报告的漏洞是不是意味着AI攻击已发生？
目前均为负责任披露，未见在野利用报告；但历史规律显示补丁发布后48小时内可能出现自动化扫描，拖延更新风险自负。
暂无评论内容