WordPress升级7.0.3完整教程｜12项高危安全漏洞修复

发布日期：2026 年 8 月 6 日

版本性质：安全更新（Security Release）

受影响版本：WordPress 7.0.2 及更早版本，安全补丁已反向移植至 4.7+ 全部版本

WordPress 7.0.3 是官方紧急安全更新，本次一共修复12个高危安全漏洞，包含未授权远程代码执行RCE、多站点权限提升、SSRF绕过、多种XSS注入、敏感信息泄露等风险，漏洞覆盖登录页面、块编辑器、评论模块、文章接口等核心位置。正在运行的WordPress网站建议尽快升级，防止网站被黑客扫描入侵、挂马、数据泄露。

一、重点安全更新内容概述

本次更新从远程代码执行、后台注入攻击、信息泄露、逻辑绕过多个维度完成漏洞修复，下面为详细漏洞清单：

1. 高危漏洞与远程代码执行风险

• 登录界面未授权反射型 XSS
  影响：攻击者无需登录网站，在登录页面即可触发XSS，特定条件下可进一步实现PHP代码执行，拿下网站权限。
  漏洞编号：CVE‑2026‑64638 / GHSA‑52p2‑r8wf‑jcrf
  报告来源：shturl 团队
• 多站点 Multisite 权限提升漏洞
  影响：开启用户注册的多站点环境下，普通注册用户可以越权新建站点，容易产生恶意子站，造成平台权限失控。
  报告来源：Aikido Security
• URL校验SSRF服务器端请求伪造
  影响：利用网站URL检测缺陷访问服务器内网地址，扫描本地端口、窃取内网业务数据。
  报告来源：Andrew Mohawk 及多位独立安全研究员

2. 块编辑器存储型XSS漏洞

漏洞主要针对投稿者、作者级别的后台账号，攻击者登录后台后植入恶意脚本，访客访问页面就会触发攻击，窃取Cookie、劫持页面。本次集中修复如下问题：

• Emoji 设置元素存储型 XSS（投稿者及以上权限）
• 文章内容块存储型 XSS（投稿者及以上权限）
• 文章日期块存储型 XSS（投稿者及以上权限）
• 后台快速编辑 Quick Edit 存储型 XSS，高流量站点容易被批量利用
• CSS过滤器绕过实现CSS注入（作者及以上权限），由 Anthropic 团队上报

3. 信息泄露与业务逻辑绕过漏洞

• 最新评论块信息泄露：未授权用户可以读取密码保护文章内的私密评论
• 评论RSS订阅源泄露：后台内部评论备注意外对外暴露
• 文章别名Slug枚举漏洞：黑客可探测草稿、未公开文章的标识信息
• 邮箱验证流程绕过：注册、修改绑定邮箱的校验逻辑存在缺陷，可被恶意绕过篡改账号邮箱

二、旧版本兼容以及后续版本动态

1. 老版本安全补丁向下兼容

WordPress官方已经把本次全部安全修复反向移植，最低支持到 WordPress 4.7。如果你的网站因为主题、插件兼容问题暂时无法升级7.0.3，也务必升级当前分支的最新小版本，补齐安全补丁，不要裸跑有漏洞的旧版本。

2. WordPress 7.1 版本进度

伴随7.0.3安全版本发布，官方同步放出 WordPress 7.1 RC2 测试版，已经全部包含本次安全修复。7.1正式版预计在2026年8月16‑19日 WordCamp US 活动期间正式发布。

三、站长升级操作指南（小白可直接照着操作）

1. 自动更新说明

如果你的站点开启了WordPress小版本自动更新，服务器会在短时间内自动完成安全升级，无需手动操作，升级后建议核对后台版本号确认结果。

升级前重要提醒

无论选择哪种升级方式，升级之前务必备份完整网站文件和数据库。防止升级中断、插件冲突引发白屏、报错，避免数据损失。

方式一：后台一键升级（优先选择）

1. 登录WordPress网站后台
2. 左侧菜单：仪表盘 → 更新
3. 页面检测到 WordPress 7.0.3 更新，点击【现在更新】
4. 等待自动下载、解压、更新核心文件，数据库自动适配，提示完成即可。

常见故障：提示「另一更新正在进行」

升级中途刷新网页、网络中断，会留下更新锁，导致重复点击升级按钮无效。处理步骤：

1、打开 phpMyAdmin，进入网站数据库，执行SQL语句：

delete from wp_options where option_name='core_updater.lock';

2、网站根目录删除隐藏文件 .maintenance，解除网站维护锁定；

3、使用子比主题的用户，进入主题设置：扩展&增强，临时关闭「禁止WordPress检测更新」，刷新更新页面再执行升级。

方式二：手动覆盖升级（后台更新失败时使用）

适合服务器超时、空间不足、插件拦截后台更新的场景。

1. 前往WordPress中文官网下载 WordPress‑7.0.3‑zh_CN.zip 安装包
2. 本地解压压缩包，删掉解压出来的 wp‑content 文件夹，保留服务器上原有的主题、插件、上传图片资源；
3. 宝塔文件管理器或者FTP工具，将剩余全部核心文件上传覆盖网站根目录；
4. 刷新后台页面，如果出现数据库升级提示，点击确认执行；
5. 升级完成，查看后台右下角确认版本为7.0.3。

四、子比主题用户专属注意事项

• 升级WordPress核心之前，建议先把子比主题更新到最新版本，避免新旧版本不兼容出现样式错乱、功能异常；
• 升级结束后，可以重新开启主题内「禁止WordPress检测更新」选项；
• 升级完成务必浏览前台页面、文章、评论、后台编辑，检查功能是否正常；
• 出现500错误、网站白屏，优先全部禁用插件，逐个定位冲突插件。

五、升级完成自查清单

• ✅ 后台右下角确认版本号：WordPress 7.0.3
• ✅ 网站前台、栏目、文章页面正常打开，无白屏、样式错乱
• ✅ 登录、评论、搜索等用户功能正常可用
• ✅ 后台编辑文章、主题设置、插件管理无报错
• ✅ 观察网站日志，无大量异常攻击访问记录

六、总结

WordPress 7.0.3 虽然只是小版本迭代，但是属于高优先级安全版本。修复包含远程代码执行、内网探测、越权访问、数据泄露等严重漏洞。

不管是个人博客还是企业站点，建议尽快完成升级。互联网存在大量自动化漏洞扫描脚本，不及时修补漏洞，网站很容易遭到入侵，保护网站和用户数据安全。