WordPress发布7.1.4安全更新修复核心升级流程等多项漏洞-WordPress啦

WordPress发布了7.1.4安全版本。据Search Engine Journal报道，本次更新修复了22个漏洞，包括核心升级流程中可能导致远程代码执行的问题，以及多处存储型跨站脚本（XSS）漏洞。部分问题最早可追溯至WordPress 4.7版本。

本次安全更新主要涉及以下三个方面。

一、WordPress升级流程存在安全隐患

WordPress核心升级流程中存在一处竞争条件漏洞，在特定情况下，可能让攻击者利用升级期间的时间窗口执行远程代码。

这是本次更新中值得重点关注的问题之一。此类漏洞一旦被成功利用，可能带来严重后果，甚至导致网站被完全接管。

不过，官方公告没有披露利用这一漏洞所需的具体条件。因此，目前不能据此认定所有受影响网站都会遭到攻击，也不能将其直接描述为无需登录即可利用的漏洞。

本次修复覆盖了WordPress的多个核心组件，包括Interactivity API（交互API）、区块、自定义器以及后台管理相关功能。除多处存储型XSS漏洞外，部分问题还涉及未经授权的信息访问。

存储型XSS通常是指恶意脚本被保存在网站内容或数据中，当其他用户访问相关页面时，脚本可能在其浏览器中执行。

据Search Engine Journal介绍，许多漏洞需要攻击者拥有投稿者（Contributor）或更高权限，才能满足利用条件。这在一定程度上限制了攻击范围，但不代表风险可以忽略。对于允许多人投稿或由多个角色共同维护的网站，仍应及时安装更新。

这次安全更新修复的问题并不只涉及近期版本。Search Engine Journal指出，部分漏洞可以追溯到WordPress 4.7，不同版本受到影响的漏洞数量也有所不同。

这说明，一些存在问题的组件已经在WordPress核心中使用多年。不过，不能因此理解为从4.7开始的所有版本，都同时存在本次报道中的全部22个漏洞。

安全研究人员Umut Bayram发现了WordPress核心更新过程中的这处问题。Search Engine Journal将其描述为竞争条件漏洞；WordPress官方则确认，这一升级流程弱点可能在升级窗口期间导致远程代码执行。

远程代码执行，简称RCE，是指攻击者能够从远程位置，让网站服务器执行恶意命令或程序。根据漏洞的利用条件，以及被执行代码所拥有的权限，后果可能包括数据被窃取，甚至网站被完全控制。

官方公告没有公开完整的漏洞利用细节，也没有说明攻击者需要具备什么权限、服务器需要满足哪些条件，或是否必须通过身份验证。

因此，目前可以确认的是：相关问题已在本次安全版本中修复，但不能仅凭公告推断具体攻击方式。

WordPress官方建议立即更新网站。管理员可以进入WordPress后台的“仪表盘 → 更新”，检查并安装可用更新；支持自动后台更新的网站，会自动启动相应更新流程。

更新前建议备份数据库和网站文件，完成后确认核心版本，并检查网站前台、后台及主要业务功能是否正常。