2025 年新增 11,334 个 WordPress 漏洞，九成出在插件，近一半披露时还没有补丁。这篇讲清攻击为什么这么快，以及缩短插件清单这类真正有效的动作。
一组不想看的数字
Patchstack 的 2026 年度报告我看了两遍，几个数字放一起挺刺眼：
- 2025 年新增 WordPress 漏洞 11,334 个，同比涨 42%；
- 91% 出在插件，主题占 9%，核心只有 6 个；
- 43% 无需登录就能用；
- 46% 在披露当天没有可用补丁；
- 从披露到大规模利用，中位时间 5 小时。
第四条和第五条放在一起，很多"每周一更新"的运维流程就失效了。近一半的情况是你想更新也没有对象，而攻击波五小时后就到。
配图由 AI 生成，仅作示意
问题为什么总在插件上
门槛低是最直接的原因。六万多个插件，审核侧重政策合规，不做深度安全审计。加上插件跟核心跑在同一权限层，没有沙箱，一个日历插件里的 SQL 注入就等于整站被注入。
还有一个更隐蔽的结构问题：插件活得比作者久。作者做到五万装机量后停更，插件照样能装、照样在用。估计三成以上的仓库插件超过一年没更新，其中不少仍有几十万活跃安装。
今年 4 月的那次供应链攻击把问题换了形态。72 小时内，25 个以上插件被接管：有的是插件被卖给恶意买家，有的是开发者账号被撞库，还有的干脆往既有文件里注代码。这次不是你装了个烂插件，而是你装了个好插件，它被投毒了。
六件事，按性价比排
缩短插件清单
最有效的动作不是装安全插件，是删插件。列出全部插件，停用的直接删除而不是停用，再逐个问"这个功能主题能不能内建"。平均每个生产站点跑着 30 多个插件，砍掉一半，攻击面就少一半。
自动更新打开，但要有监控
既然中位 5 小时就被打，人工周更必然滞后。核心和插件都开自动更新，同时把结果写进日志。见过太多"自动更新早就失败了没人发现"的站点，后台红点挂了两个月。
WAF 要有，但别当解决方案
Patchstack 自己的测试里，传统托管层防护只挡住了 12% 的 WordPress 定向攻击。WAF 争取的是时间，不是终局。
强制双因素
81% 的入侵事件和弱密码、被盗密码有关。这一条是单项收益最高的改动。顺手把登录路径改掉、限制尝试次数。
最小权限
日常写文章的号别给管理员。API 密钥、支付密钥单独管，别和登录密码混存一处。
备份，并且真的恢复过一次
只有 27% 的站长准备了恢复方案。备份不在同一台机器、恢复流程跑通过一遍，这两点比备份频率重要得多。
怎么知道已经被进了
最典型的信号是后台多出你不认识的管理员账号。其次是 wp-content 下的 PHP 文件批量出现异常修改时间，搜索引擎提示"可能被入侵"，或者服务器发信量突然暴涨——那是被拿去发垃圾邮件了。
发现任何一条，处置顺序：先下线或切维护页，保留现场（打包日志和文件），从干净备份恢复，改掉全部密码和密钥，最后再查入口。别在原站点上边用边修，后门通常不止一个。
把攻击面变小，比把防护做厚有效。请不起安全顾问的团队，删掉八个不用的插件今天下班前就能做完。
