黑五网一将至，独立站也要先“上锁”再“上量”。本文结合WordPress 7.1.2关键远程代码执行漏洞修复，梳理Q4旺季前必须完成的备份、更新、权限与支付合规四步安全加固清单。

WordPress官方核心团队公布了7.2版本的重点安全方向：Sudo Mode为敏感操作用户设重认证门槛、Secrets API提供安全的凭证存储、Application Passwords进一步强化。

WooCommerce于2026年9月22日发布11.1.2稳定版，这是11.1系列自9月3日以来的第三枚补丁，修复Analytics日期选择器、订单运费税等多项缺陷，官方提醒仅最新版本才视为完全安全。

WooCommerce 9月21日发布11.2.0 Beta，正式版10月6日当周上线。主要更新包括CSV导入支持GTIN/UPC/EAN/ISBN匹配、退货邮件可配置、附加结账API新增日期字段、区块新增样式选项等。

WordPress官方9月22日发布7.1.2安全更新，修复CVE-2026-87902严重漏洞，该漏洞可能导致未授权攻击者在特定服务器和主题环境下触发远程代码执行（RCE），已回溯至4.7及以后所有分支。

攻击者正在利用WooCommerce Wholesale Lead Capture插件中的CVE-2026-27540关键漏洞，尝试在WordPress站点植入PHP Webshell，已有超过10万次攻击尝试被检测到。

WooCommerce 11.1.0于9月3日发布，561个PR、77位贡献者参与，产品变体图库全量开放，欧盟订单撤回权功能上线，Store API和REST请求提速30-42%。

WooCommerce 9月18日发布11.1.1安全补丁，修复REST API认证检查、Mini-Cart抽屉样式和guest-session验证问题，建议所有WooCommerce独立站立即更新。

Automattic董事会投票罢免Matt Mullenweg CEO职务，CFO Mark Davies任临时CEO，Matt称仅提前50分钟收到通知；WordPress执行董事确认开源项目方向不变，卖家需关注Automattic系服务依赖。

WordPress 7.0.2修复CVE-2026-60137（SQL注入，CVSS 9.1）和CVE-2026-63030（RCE，CVSS 7.5）两个高危漏洞，WP_Query参数缺陷可被未认证攻击者利用，超5亿站点受影响，附升级与WAF处置清单。