WordPress 7.1.4 是一个纯安全版本，没有新功能，官方建议立即升级；这次最值得注意的一条不在插件、不在主题，而在 WordPress 自己的升级流程里。
WordPress 7.1.4 是一个纯安全版本，没有新功能，官方建议立即升级；这次最值得注意的一条不在插件、不在主题，而在 WordPress 自己的升级流程里。
这次到底修了什么
10 月 28 日发布的 7.1.4 属于短周期安全版本。官方发布说明列了十几项修复，第三方按条目整理出 22 个漏洞、17 条公告。数量不是重点，重点在类型：绝大多数是存储型 XSS，来源集中在 Interactivity API、区块标记、自定义器选择性刷新、分类区块、播放列表与图片区块、评论分页区块这几处；另有一条信息泄露——未发布的定制器变更集能被未登录访客读到；还有一条权限问题，只有“审核评论”权限的角色，能读到、改掉、删掉自己没有编辑权限的文章上的批注。
升级窗口本身成了攻击面
最需要认真读的是升级流程里那条远程代码执行。WordPress 自动更新时会先把新版本解压到 wp-content/upgrade/ 下的一个临时目录，再从那里把文件复制到位。这个目录是被 Web 服务器直接对外提供的。旧版本目录名是“下载包名 + 6 位随机字符”，清理步骤还会顺手删掉 index.php，于是“目录能不能被列出来”就成了唯一一道门。攻击者在更新的那几秒里找到这个目录，就能对着解压出来的安装程序跑一遍，把数据库指向自己那一台。
7.1.4 改了三处：目录名后面的随机串从 6 位加到 16 位；wp-content/upgrade/ 里固定放一个空 index.php；复制步骤不再从解压目录里搬 wp-config.php。这个窗口只有更新那几秒，实际利用难度不低，但它是本次唯一不需要任何账号就能碰的一条。
现在该做的三件事
- 更新到 7.1.4，更完回后台确认版本号真的是 7.1.4，别只看“已是最新”。
- 去服务器上关掉 wp-content/ 的目录列表。Nginx 用 autoindex off，Apache 用 Options -Indexes，顺手在 upgrade 目录里放个空 index.html。
- 清一遍 Contributor 及以上的账号。除升级流程那条之外，其余漏洞基本都要有个能发内容的账号才用得上。
对站长的实际影响
这一版没有功能变化，主题和插件不用改代码，正常升级不会把站搞坏。真正要改的是习惯：安全版本不要等“看了别人的反馈再说”，它和功能版本不是一回事。另外，如果你把 wp-content 整个目录做了静态直出，或者同步到对象存储、做成了备份镜像，也顺便看一眼 upgrade 目录有没有被一起暴露出去——那才是这条漏洞最容易被放大的地方。
本文根据公开报道整理，主要参考：WordPress.org 官方发布公告（2026-10-28）。
