2026 年 10 月，WordPress 網站有兩件事要處理。第一件是核心：官方在 10 月 6 日發布 7.1.3 維護與資安更新，修了 7 個資安問題和 4 個錯誤，7.1 系列的網站建議盡快升到這一版。第二件是外掛：Bricksforge 外掛有一個不用登入就能上傳並執行 PHP 程式的漏洞，資安公司 Patchstack 從 10 月 7 日起就看到實際的攻擊；同一段時間，Ninja Forms 和 WPC Product Bundles 的漏洞也被拿來發動另一波攻擊。現在該做的是確認核心版本、檢查有沒有裝到這幾個外掛，再把其他外掛也排一次更新，下面一步一步說。
本文依 WordPress 官方公告、Patchstack 與資安媒體的報導整理，資料截至 2026 年 10 月 23 日；受影響的版本以官方與各外掛的公告為準。
核心 7.1.3 修了什麼
7.1.3 是 7.1 系列的維護與資安版本。照 Patchstack 的整理，有兩個問題是沒登入的訪客就能開始利用的：一是透過待審核的留言，在後台留言管理頁觸發儲存型跨站腳本（需要管理留言的人點到），影響 7.1.0 到 7.1.2；二是私人或還沒發布的文章，留言內容會被沒登入的人看到。其他幾個需要投稿者或作者帳號，或要管理員執行匯出才會碰到，例如匯出 WXR 檔時的二次 SQL 注入，以及作者帳號可以把文章設成置頂。
還在 6.x 等舊版的網站，官方說會把修正補到仍在支援的舊分支，準備好就陸續發布。另外，9 月 22 日的 7.1.2 修掉了一個不用登入就能利用的本機檔案引入漏洞（CVE-2026-87902），Patchstack 觀察到修補公布後幾個小時就有人開始探測網站。網站如果還停在 7.1.1 以前，這次一起升上來。
正在被攻擊的外掛
Bricksforge（CVE-2026-85097）：3.1.8.9 以前的版本，不用登入就能上傳偽裝成 GIF 圖片的 PHP 檔並執行，等於讓別人在你的網站上跑任意程式。修正版是 3.1.8.10。Patchstack 在 10 月 7 日第一次看到攻擊，而且是自動化的，幾秒內就有幾十個相同的請求。有裝這個外掛的話，先更新到最新版，再檢查 wp-content/uploads/bricksforge/tmp/ 和其他上傳資料夾有沒有不該出現的 PHP 檔，特別是檔名以 login_admin_ 開頭的。
Ninja Forms（CVE-2026-94504）與 WPC Product Bundles（CVE-2026-93836）：Patchstack 記錄到一波利用這兩個外掛跨站腳本漏洞的攻擊，攻擊成功後會留下好幾條回到網站的路，其中包括一個藏起來的管理員帳號。有裝這兩個外掛的，請更新到最新版；如果懷疑被入侵過，後台使用者列表看不到不代表沒有，最好請主機商或工程師直接從資料庫比對管理員帳號。
現在就可以做的檢查
第一步，到後台「控制台」裡的「更新」看 WordPress 版本，確認是 7.1.3。WordPress 預設會自動套用次要版本的安全更新，但有些主機或外掛會把這個功能關掉，親自看一眼最保險。
第二步，到「外掛」的「已安裝的外掛」搜尋 Bricksforge、Ninja Forms、WPC Product Bundles，有裝的就照上一段處理。沒在用的外掛直接停用並刪除，少一個外掛，就少一個要追的漏洞。
第三步，把其他外掛和佈景主題也排一次更新。怕更新後網站壞掉，可以照不敢更新外掛？先備份、分批更新、壞了就退回的做法：先備份、一次更新幾個、每批檢查首頁和後台，有問題就退回。最後把管理員帳號都換成強密碼，順便看一下使用者列表有沒有不認識的管理員。
不想每個月自己追漏洞的話
自己顧網站的人，建議固定每一到兩週排一次時間看更新，並留意 WordPress 官方的發布公告。網站放在一般虛擬主機的，先問清楚主機商有沒有幫你自動套用核心的安全更新；外掛和佈景主題，通常還是要你自己更新。
放在 RoamerHost 的 WordPress，安全性更新（次要版本）會自動套用，大版本更新在控制台一鍵執行；外掛和佈景主題也能在控制台直接更新，兩個方案都含自動備份。選 WP × Roamer AI 進階版的話，可以直接跟 Roamer AI 說「幫我更新所有外掛，更新前先備份，更新後確認網站正常」，它會先備份，更新後自動檢查首頁與後台，有錯誤或衝突就回滾到更新前；也可以請它檢查網站健康狀況，看有哪些要更新、錯誤日誌裡有沒有問題。WordPress 基本版年繳 NT$3,588（平均每月 NT$299），WP × Roamer AI 進階版年繳 NT$11,988（平均每月 NT$999），方案細節在 WP × Roamer AI 方案頁。
常見問題
Q：我的網站還是 6.x，一定要升到 7.1 嗎？
官方正把這次的修正補到仍在支援的舊分支，準備好就陸續發布，你那條分支出了新的修補版就先升上去。不過舊分支只收資安修正，最穩的做法還是排時間升到 7.1；大版本升級前先備份，並確認佈景主題和主要外掛支援新版。
Q：沒有裝 Bricksforge 這幾個外掛，還需要做什麼嗎？
核心還是要確認是 7.1.3，其他外掛也建議排一次更新。這幾個是 10 月被點名正在被攻擊的，不代表其他外掛沒有漏洞。
Q：怎麼知道網站有沒有被入侵？
常見的跡象是後台出現不認識的管理員、上傳資料夾裡多了 PHP 檔、網站被導到奇怪的網址，或 Google 搜尋結果出現不是你寫的內容。發現可疑的地方，先備份現況、換掉所有管理員密碼，再請主機商或工程師協助清查。只刪掉看得到的檔案常常不夠，10 月就有資安媒體報導過清除之後會自己重建的 WordPress 後門。
資料來源
- WordPress.org：WordPress 7.1.3 維護與資安更新公告、7.1.3 版本說明、版本發布紀錄
- Patchstack：WordPress 7.1.3 修補分析、CVE-2026-87902 修補後幾小時就有人探測、Bricksforge 漏洞遭到利用、Ninja Forms 與 WPC Product Bundles 攻擊分析
- 資安媒體：The Hacker News 的 Bricksforge 報導、SecurityWeek 的 Bricksforge 報導、The Hacker News 的自我重建後門報導
- RoamerHost：WP × Roamer AI 方案與常見問題
WordPress
