Jetpack 於 2026 年 9 月 2 日公布 16.1.3 安全更新說明，提醒站長盡快核對外掛版本。修補已於前一天釋出，涵蓋匯入、媒體附加權限與 Reader 轉貼流程。對多人維護的網站，匯入內容的權限也是這次檢查重點。
匯入資料為何會成為入口？
官方指出，Jetpack 自 12.0 起的 Import 功能，在還原文章附帶 metadata 時，會對資料進行未受限制的反序列化。擁有匯入權限的使用者可能使網站建立其提供的 PHP 物件，後續影響取決於網站上其他程式碼。這不是任何匿名訪客都能直接觸發的路徑，也不能只憑「物件注入」四字，就斷言每個站都能執行任意指令。
不要只檢查是不是 16.1.3
Jetpack 與 WordPress.org 外掛團隊為 12.0 以來的多個版本分支提供修補。使用舊分支時，應對照官方完整清單；例如 12.0 分支修補版為 12.0.3，不能把所有低於 16.1.3 的版本一概判定為未修補。能升級目前支援版本的網站，仍宜規劃更新，避免長期停留在舊分支。
站長可先完成的核對
先備份資料庫及網站檔案，再確認後台顯示的實際 Jetpack 版本，並檢查匯入權限是否只交給需要的人。更新後測試原有媒體與匯入流程，確認文章仍正常顯示。官方在這份公告中表示，當時沒有漏洞遭利用的證據；這是當時的觀察，不是對任何網站安全狀態的保證。
事件公告日期：2026-09-02。依公告翌日編入事件時間線，於 2026 年 11 月 1 日補錄；本文按歸檔日已公開資訊整理。封面為 AI 生成的概念插畫。
參考資料
原文鏈接：https://wntheme.com/jetpack-import-security/，轉載請註明出處。
