WordPress 於 2026 年 9 月 17 日發布 7.1.1，包含 11 項安全修補。網站若有留言、多人編輯或主題自訂流程，應核對核心更新結果，而不是只更新外掛就結束。
留言與後台權限都是這次重點
公告包含 wpautop() 的儲存型 XSS，該項利用仍受留言批准條件影響；另有特製 URL 可能自動安裝並預覽 WordPress.org 主題、已登入使用者的路徑穿越，以及 Contributor 以上角色可覆寫文章等問題。各項的權限與操作條件不同，實際風險須按網站的角色與功能設定判斷。
先備份，再確認更新真的完成
先保存資料庫及網站檔案，在「控制台 → 更新」核對核心版本並更新至 7.1.1 或當時已修補的版本。若使用主機商管理的自動更新，也應讀回實際版本；收到通知信並不代表所有子站與容器都已更新。
多人網站更新後的三件事
抽查留言審核頁、作者與投稿者的編輯權限，以及目前使用的主題自訂功能。不要為了測試漏洞而在正式站貼入惡意內容；若擔心先前已被利用，保留存取與管理日誌，交由維護者調查。安全修補處理的是已知程式問題，帳戶與內容異常仍需另外核對。
事件公告日期：2026-09-17。依公告翌日編入事件時間線，於 2026 年 11 月 1 日補錄；本文按歸檔日已公開資訊整理。封面為 AI 生成的概念插畫。
參考資料
原文鏈接：https://wntheme.com/wordpress-7-1-1-security-news/，轉載請註明出處。
