WordPress 7.0.2修复CVE-2026-60137（SQL注入，CVSS 9.1）和CVE-2026-63030（RCE，CVSS 7.5）两个高危漏洞，WP_Query参数缺陷可被未认证攻击者利用，超5亿站点受影响，附升级与WAF处置清单。

WCFM Marketplace插件修复匿名访客可对任意订单提交退款的安全漏洞，退款请求现要求已认证客户并校验订单所有权，WordPress多商户独立站需立即更新并排查异常退款记录。

WooCommerce Wholesale Lead Capture插件存在CVE-2026-27540高危漏洞，CVSS 9.8，攻击者无需认证可上传PHP后门实现远程代码执行，6000+安装受影响，Wordfence已拦截超10万次攻击，补丁v2.0.3.2...

WordPress于2026年9月22日发布7.1.2安全版本，修复一个严重级安全漏洞，官方建议所有站点立即更新；此前7.1.1与老分支6.6.9也同批跟进补丁。

Wordfence 9月披露Super Forms任意文件上传（CVSS 9.8，已拦25万次攻击）和All-in-One WP Migration二级SQL注入（500万+安装）两起高危漏洞，附版本号自查与处置清单。

Wordfence 9月10日发布周报：8月31日至9月6日一周共披露277个WordPress漏洞，波及187款插件和7款主题，254个已修补、23个尚无补丁，高危75个、严重16个，XSS类型占91个。