十月这一个月，Wordfence 的情报库里新增了 1907 条 WordPress 记录，其中 71 条被标为严重级；真正需要你今天打开后台看一眼的，是那 14 个装机量在 1 万以上的插件。
十月这一个月，Wordfence 的情报库里新增了 1907 条 WordPress 记录，其中 71 条被标为严重级；真正需要你今天打开后台看一眼的，是那 14 个装机量在 1 万以上的插件。
为什么这次要按装机量看
1907 条记录散布在 65 个插件和主题上，绝大多数是小插件，装机量只有几百。这类漏洞对单个站长意义不大，对批量扫描的机器人意义很大。所以更实用的看法是：先筛出装机量 10 万以上的，再按“需不需要登录”排序。不需要登录、又能执行代码或提权的，才值得当天处理。
装机量最大的那一批
- Click to Chat（60 万装机）：通过 {url} 占位符执行短代码，未登录可打，4.45 修复。
- Kirki（50 万）：未授权远程代码执行，6.3.2 修复。
- Blocksy Companion（30 万）：通过 role 参数提权，2.1.59 修复。
- Advanced Custom Fields: Extended（10 万）：未授权远程代码执行，0.9.2.8 修复。
- Beaver Builder Lite（10 万）：Sidebar 模块短代码执行，2.11.0.6 修复。
- LatePoint（10 万）：一次性验证码竞态导致登录绕过，5.7.5 修复。
- LearnPress（7 万）：结账邮箱字段 PHP 对象注入，4.4.11 修复。
- 10Web Booster（6 万）：未授权任意文件上传，2.34.11 修复。
还有六个装机量在 1 万到 5 万之间：Theme My Login、PPOM for WooCommerce、My Calendar、MailOptin、Prime Mover、weForms，修复版本分别是 7.2.2、34.0.11、3.8.8、1.2.78.7、2.2.2、1.6.29。
三个容易被忽略的点
第一，付费插件不在这个名单里。Bricksforge 那条评分打满 10 分，影响 3.1.8.9 及以下、修在 3.1.8.10，但它只在自家授权渠道更新——授权过期就等于收不到补丁，这比漏洞本身更麻烦。第二，被 WordPress.org 关掉的插件没有修复版本，只能删，这类插件继续装着就是一直裸奔。第三，同一个月里被反复点名的 LiteSpeed Cache、Rank Math、UpdraftCentral，本站已经单独写过，这里不再重复。
对站长的实际影响
与其每周扫一遍“有没有新漏洞”，不如先把自己站的插件清单导出来，只留三类：还在维护的、最近一年有更新的、真的在用的。剩下的一次性清掉。清单短了，漏洞通报才看得过来；清单长了，任何一份通报都只是在给焦虑充值。清理之前记得先备份，删插件别在业务高峰做。
本文根据公开报道整理，主要参考：Respira.press 十月 WordPress 漏洞汇总（2026-10-29）。
