WordPress 漏洞公告出來後，先查網站目前的 WordPress 版本，再到 WordPress 官方公告核對這個版本是否已含修補。核心、外掛、佈景主題要分開確認，WordPress 更新後再回後台核對一次版本號，才算處理完。
怎麼查 WordPress 網站目前是哪個版本？
以後台或主機端查到的為準，網頁原始碼裡的版本號只能參考。查法有三種：
- 後台：「控制台 → 更新」顯示目前版本與是否為最新版；「工具 → 網站狀態 → 網站狀態資訊」另列出 PHP 版本。
- 主機商控制台：有 WordPress 管理工具的，通常列出各網站的版本與待更新項目。
- WP-CLI：WordPress 的命令列工具，有主機權限的 IT 人員可執行下列指令。
wp core version：核心版本wp plugin list：外掛版本與是否有更新wp theme list：佈景主題版本與是否有更新
原始碼裡的 generator 標籤或 ver 參數不可靠，版本號可能被佈景主題或資安外掛隱藏，也可能是快取的舊頁面。活動站、舊官網與測試站也要一起查。
去哪裡確認哪個版本才算安全？
以 WordPress.org 官方資料為準：你的版本要等於或高於所在版本系列的修補版。
- WordPress.org 新聞的 Security 分類：安全性版本的公告與修補內容。
- WordPress.org 版本發布紀錄（Release Archive）：依系列列出各版本與日期，頁首寫明哪個系列的最新版是安全且持續維護的版本。
- 通用漏洞披露（CVE）紀錄：在 cve.org 輸入漏洞編號，看受影響的版本範圍。
- 美國網路安全暨基礎設施安全局（CISA）的已知遭利用漏洞目錄（KEV）：列在上面代表已有實際攻擊。
舊系列也會收到回補的修補，但官方公告寫明這是「禮遇」，只有最新版本受到積極支援。舊系列裝了修補版代表該漏洞已補，仍應排計畫升到最新系列。
WordPress 漏洞怎麼判斷有沒有影響到我？
比對三件事，任何一項查不到就先當作受影響：
- 漏洞在哪裡：核心漏洞所有網站都要看；外掛或佈景主題的漏洞，裝了才受影響，停用未刪的保守起見也算。
- 版本在不在範圍：用上一節查到的版本，對照官方公告或通用漏洞披露紀錄。
- 是否已遭利用：已列入已知遭利用漏洞目錄的，更新後也要查網站是否已被入侵，徵兆見網站被駭的前兆。
完整的判斷方法見漏洞新聞怎麼判斷影不影響我。
近期實例：WordPress 更新流程漏洞影響哪些版本？
資料截至 2026 年 11 月 10 日。WordPress 4.7 到 7.1.3 受影響，7.1 系列要更新到 7.1.4，舊系列要裝各自的修補版，例如 7.0.8、6.9.11。
- 官方修補：WordPress.org 於 2026 年 10 月 28 日發布 7.1.4 安全性版本，修補項目包括更新流程中可能導致遠端程式碼執行的弱點；版本發布紀錄顯示，4.7 以後各舊系列的修補版也在同日發布。
- 編號與範圍：CVE-2026-119977。通用漏洞披露紀錄寫明問題出在核心的完整套件更新流程，未登入的攻擊者可能在更新期間於伺服器執行程式碼，通用漏洞評分系統（CVSS）3.1 基本分數 8.1（高）。
- 已遭利用：美國網路安全暨基礎設施安全局於 2026 年 11 月 3 日依實際攻擊證據將它列入已知遭利用漏洞目錄；加拿大網路安全中心同日發布公告 AV26-1117，建議套用更新。
- 怎麼確認：版本低於所在系列的修補版就是還沒修補；4.7 之前的版本不在官方回補範圍內，應直接升級。
WordPress 要不要開自動更新？
核心小版本要保持開啟；大版本、外掛、佈景主題，看有沒有人定期處理、有沒有測試環境再決定。
| 更新類型 | 官方預設 | 建議 |
|---|---|---|
| 核心小版本（維護與安全性版本） | 開啟，官方強烈不建議關閉 | 保持開啟 |
| 核心大版本 | 新安裝的網站預設開啟，舊網站沿用原設定 | 客製多的網站先測試再更新 |
| 外掛 | 關閉，要逐一啟用 | 沒人定期更新就開啟 |
| 佈景主題 | 關閉，要逐一啟用 | 改過主題檔案的先處理再開 |
有人定期看更新又有測試環境，大版本與電商、金流、會員等關鍵外掛可改手動、先測再更新；沒人看就開自動更新，搭配每日備份。開關在「控制台 → 更新」（核心）、「外掛」頁與「外觀 → 佈景主題」。
外掛與佈景主題也要更新嗎？
要，而且要分開確認：核心更新不會順帶更新外掛與佈景主題，它們各有開發者與安全公告。
- 用不到就刪除：WordPress 官方強化指南建議刪除沒在用的外掛，只停用的話檔案還在主機上。
- 付費外掛看授權：許多付費外掛與佈景主題要有效授權才收得到更新。
- 停止維護的要換掉：開發者不再更新，出了漏洞也不會有修補版。
- 改過主題檔案的先處理：直接改佈景主題檔案的，更新會覆蓋修改，應改用子佈景主題。
如何更新 WordPress 版本？更新前後要做什麼？
先備份、在測試環境驗證，再更新正式站；更新後核對版本並測過關鍵功能，才算完成。
- 備份：資料庫與檔案都要備，並確認還原得回來；WordPress.org 官方升級說明也把備份列為第一步。
- 測試環境先跑：把正式站複製到測試環境（staging）更新，確認外掛、佈景主題與 PHP 相容。
- 分批更新正式站：核心、外掛、佈景主題分開更新，出問題才找得到原因。
- 核對版本與功能：回「控制台 → 更新」確認版本，再實際操作登入、表單、結帳等流程。
- 留紀錄：記下日期、前後版本與測試結果。
IT 人員可用 WP-CLI 輔助：
wp core check-update：查詢有沒有可用的更新wp core verify-checksums：比對核心檔案與官方檢查碼是否一致
介面顯示「已更新」不等於修補已生效，驗證方法見看懂安全公告的四件事與驗證步驟。
網站由主機商或外包維護時，誰負責更新？
以合約為準，不看口頭的「我們都有在顧」。三種情況分工不同：
| 情況 | 誰負責更新 | 你該問什麼 |
|---|---|---|
| 自架（自己的主機或雲端主機） | 公司自己，從核心、外掛到 PHP、作業系統 | 誰收安全公告？誰有權限更新？ |
| 主機商代管 | 主機與 PHP 常由主機商負責，核心與外掛依方案而定 | 方案含哪些更新？外掛算不算？ |
| 外包維護 | 依維護合約列出的項目 | 多久更新一次？更新前有沒有備份與測試？ |
出漏洞時，請負責的一方書面回報：目前的核心、外掛、佈景主題版本，是否已達公告的修補版，更新後測了哪些功能。答不出來，就是沒有人在追。
PHP 版本太舊、WordPress 升不上去怎麼辦？
先更新 PHP，再更新 WordPress。PHP 版本不足時，後台更新頁會說明無法更新的原因。
- 看目前版本：「網站狀態資訊」的伺服器區段列有 PHP 版本，過舊時「網站狀態」會提醒。
- 看官方建議：WordPress.org 系統需求頁寫有建議的 PHP 版本，並提醒已停止支援的舊版可能帶來安全風險。
- 先在測試環境切換：舊外掛可能不相容新版 PHP；控制台無法自行切換的，請主機商處理。
舊版 PHP 為什麼非升不可，見PHP 網站升級。
不確定網站有沒有更新到位，下一步做什麼？
先把公司所有 WordPress 網站列成一張表，寫上目前版本、負責更新的人與上次更新日期，空白的那一格就是風險。
清單填不完，或主機商與外包廠商的分工說不清楚，歡迎預約諮詢，和影響視覺科技一起釐清維運責任。由我們開發或接手維護的系統，維運方案包含系統維運與資安監測頁列出的監測與備份項目：每日健康檢查、每日備份與完整性檢查、資料竄改比對、異常即時通知。
常見問題
WordPress 更新失敗怎麼辦？
先別重複按更新，記下錯誤訊息。網站卡在維護訊息或打不開，請主機商或 IT 從更新前的備份還原，再到測試環境找原因，常見是外掛衝突或 PHP 不相容。還原後漏洞仍在，要盡快重新排定更新。
網站很久沒更新，可以一次更新到最新版嗎？
可以，前提是有完整備份。WordPress.org 的官方升級說明指出，有妥善備份就能直接更新到最新版；一次跨越超過兩個大版本時，建議分段更新，降低衝突與資料庫損壞的風險。
沒看到新聞，怎麼知道 WordPress 出了安全性更新？
追蹤 WordPress.org 新聞的 Security 分類（可用 RSS 訂閱），安全性版本會在這裡公告；後台「控制台 → 更新」也會顯示可用更新。外掛與佈景主題自動更新後，WordPress 預設會寄信通知網站管理員，信箱要有人看。
參考資料
- WordPress.org，Release Archive（版本發布紀錄，持續更新）
- WordPress.org News，WordPress 7.1.4（2026 年 10 月 28 日）
- WordPress.org News，Security 分類
- WordPress Developer Resources，Upgrading WordPress（含自動背景更新設定）
- WordPress.org Documentation，Plugin and themes auto-updates
- WordPress Developer Resources，Hardening WordPress
- WordPress.org，Requirements
- WordPress Developer Resources，WP-CLI Commands
- CVE.org，CVE-2026-119977（2026 年 10 月 31 日發布）
- CISA，CISA Adds One Known Exploited Vulnerability to Catalog（2026 年 11 月 3 日）
- 加拿大網路安全中心，WordPress security advisory (AV26-1117)（2026 年 11 月 3 日）
本文最後更新：2026 年 11 月 10 日