WordPress 在2026年7月17日发布了 7.0.2 安全更新，一次性修复了两个高危漏洞。如果你的站点跑在 6.8 或 6.9 系列上，这篇文章你得认真看看。
做独立站的朋友都知道，WordPress 虽然好用，但作为全球使用率最高的建站系统，也一直是黑客的重点关注对象。每隔一段时间就会有安全更新出来，这次 7.0.2 版本的发布，修复的问题还挺严重，咱们直接说重点。
这次更新修复了什么？
WordPress 7.0.2 一共修复了两个漏洞，一个严重级别，一个高危级别：
CVE-2026-60137 — SQL注入漏洞（严重）
这个漏洞影响 WordPress 的数据库查询层。攻击者可以通过精心构造的请求，直接向数据库注入恶意SQL语句。一旦被利用，攻击者可能绕过权限验证，窃取用户数据、修改数据库内容，甚至获取管理员权限。漏洞评级为严重，属于最需要优先处理的类型。
CVE-2026-63030 — REST API 路由混淆 + SQL注入可致远程代码执行（高危）
这个漏洞更复杂一些。它利用了 REST API 的路由解析缺陷，结合 SQL 注入的攻击链，最终可能导致远程代码执行。什么意思呢？就是攻击者可能在你的服务器上直接运行恶意代码。万一被利用，网站被挂马、植入后门、数据全部被拖走——这些都不是吓唬你，是真实可能发生的事情。
两个漏洞单独看都不算小事，合在一起同时修复，说明这次安全更新的重要性相当高。关于WordPress建站的安全规范，可以看看我们的WordPress建站专栏。
影响哪些版本？
根据 WordPress 官方的公告，这次漏洞影响的范围是：
- WordPress 6.8 及以上版本（6.8.x 系列）
- WordPress 6.9 及以上版本（6.9.x 系列）
同时，官方也同步发布了修复版本：
- WordPress 6.8.6（面向 6.8 用户）
- WordPress 6.9.5（面向 6.9 用户）
- WordPress 7.0.2（面向 7.0 用户）
好消息是，如果你还在用 WordPress 6.8 之前的版本，这次漏洞不会影响到你。但如果你用的是更老的版本，本身就可能存在其他安全问题，我的建议还是尽快升级到受支持的版本。
怎么升级？
升级 WordPress 核心其实很简单，后台操作就行：
方法一：后台直接更新
登录 WordPress 后台，进入「仪表盘 → 更新」页面，如果系统检测到新版本，会显示”请立即更新”的提示。点击按钮即可自动完成升级。这是最推荐的方式，整个过程只需要几分钟。
方法二：手动下载替换
如果因为服务器环境限制无法自动更新，可以到 WordPress.org 下载最新版本的安装包，然后通过 FTP 上传覆盖网站根目录文件。注意：wp-content 目录和 wp-config.php 文件不要覆盖，不然你的主题、插件和配置会丢失。
方法三：联系你的运维或建站服务商
如果你不太熟悉技术操作，或者担心升级后主题插件出现兼容问题，可以联系帮你建站的服务商代为处理。六翼出海的客户如果遇到升级问题，也可以直接在后台提交工单，我们帮你搞定。
升级之前记得先做一次全站备份，包括数据库和所有文件。万一升级出现意外，还能快速回滚，不至于影响网站正常运营。关于独立站的日常维护，可以看看独立站运营指南。
为什么升级不能拖？
我见过不少做外贸独立站的朋友，觉得网站跑得好好的就不想动。安全更新出来之后能拖就拖，结果等到网站被黑了才后悔。现实情况是：漏洞细节一旦公开，黑客就会立刻编写针对性的扫描和攻击脚本。
WordPress 的漏洞信息是公开透明的，每次安全更新发布时，CVE 漏洞编号和影响版本都是对外公布的。这意味着什么？意味着攻击者和你在同一起跑线上看到了这些信息。你不更新，就等于给攻击者留了个后门。
外贸独立站上跑的是你的品牌、产品信息、客户数据、甚至在线交易。一个安全漏洞导致的数据泄露，损失的不只是钱，还有客户的信任和品牌的声誉。恢复起来可能要好几个月，甚至永远回不来。了解更多独立站安全知识，可以访问六翼出海官网。
六翼出海的建议
总的来说，这次 WordPress 7.0.2 安全更新属于”必须尽快处理”的级别。如果你管理的网站用的是 6.8、6.9 或 7.0 系列，建议大家本周内完成升级。
WordPress 核心更新一般不会影响主题和插件的正常运行，但如果你的网站用了大量自定义代码或者老旧的主题插件，升级前最好在测试环境先跑一遍，确保一切正常。
如果你在用我们六翼出海的建站服务，升级操作我们已经帮你在后台安排上了。如果有任何疑问，欢迎随时联系我们。安全第一，网站稳定才是长久运营的基石。
六翼出海独立站专栏 持续更新建站、运营和安全相关的内容，欢迎关注。
