最近整个互联网都是漏洞，WordPress 官方却说比以前更安全了，还给出了详细的报告！
内容提要
WordPress官方表示，AI加速了漏洞发现，使漏洞报告量从每月二三十份增至今年超3000份，但修复速度同步提升。7月中旬以来已发布7个安全版本，修复50多个高危漏洞，并全部向后移植至4.7分支。团队通过固定发布班底、自动化73%流程、AI分诊与主动扫描提升效率。官方结论是AI让WordPress更安全，建议站长开启小版本自动更新。
延伸解读
漏洞报告激增不等于核心变差
文章指出，WordPress 过去十年每月仅收到 20 到 30 份漏洞报告，而今年至今已超 3000 份，比之前十二年总和还多。官方认为，这并非核心代码突然变糟，而是 AI 加速了漏洞发现，把以前藏着的洞翻了出来。洞还是那些洞，只是被看见的数量和修复速度前所未有。
修复流水线是安全的关键
发现变快只是第一步，分诊、修复、向后移植、测试、发版任何一环跟不上都白搭。WordPress 安全团队 7 月中旬以来发布 7 个安全版本，修复 50 多个关键或高危漏洞，并将每个修复向后移植到所有接收安全更新的分支，一路补到 4.7。发布流程中 73% 的步骤已自动化，但打包发布权限仍刻意收紧以防供应链攻击。
AI 分诊与主动扫描的边界
面对报告暴涨，WordPress 引入 AI 分诊系统，在隔离环境复现报告并给出摘要和建议，但最终拍板仍由人类安全研究员完成。同时，团队将验证工具转向主动挖洞，并加入 Anthropic 的 OSS Scanner。7.1.4 中两个存储型 XSS 的报告方署名 Anthropic，说明新流程已实际运转。
站长应开启小版本自动更新
文章给出的实操结论是：开启自动更新，或至少保证有人盯小版本。当前安全版本节奏是 40 天四个，手动更新已跟不上。WordPress 小版本自动更新默认开启，很多人自行关闭，应重新打开。此外，官方明确每个修复都向后移植到所有接收安全更新的分支，老版本并非无人管，不能作为不升级的借口。
Q&A
WordPress 今年漏洞报告数量暴增的原因是什么？
AI 工具加速了漏洞发现，使漏洞报告量从过去每月 20-30 份增至今年超过 3000 份，比之前十二年总和还多。漏洞本身一直存在，只是 AI 提高了发现速度。
WordPress 官方为什么说 AI 让 WordPress 更安全了？
因为 AI 加速发现漏洞的同时，WordPress 安全团队也提升了修复效率，7 月中旬以来发布 7 个安全版本，修复 50 多个高危漏洞，并全部向后移植到 4.7 分支，使漏洞被更快修复。
WordPress 核心安全计划在发布流程上做了哪些优化？
一是每次发版配固定班底，明确分工，分两波发布（常用版本先发）；二是自动化慢环节，一个安全发布的 109 个步骤中 73% 已自动化，但刻意保留打包发布权限的摩擦以防供应链攻击。
WordPress 如何利用 AI 进行漏洞分诊和主动挖洞？
AI 分诊系统读取新报告、在隔离环境复现、给出摘要和建议，但最终由人类研究员拍板。同时，团队将验证工具转向主动扫描核心代码找漏洞，并加入 Anthropic 的 OSS Scanner 进行免费安全扫描。
对于普通 WordPress 站长，官方给出了什么安全建议？
建议开启小版本自动更新，或至少保证有人盯小版本。当前安全版本节奏快（40 天四个），手动更新已跟不上。小版本自动更新默认开启，很多人关掉了，应重新开启。
使用老版本 WordPress 是否还能获得安全保护？
是的，官方明确每个修复都向后移植到所有还在接收安全更新的分支，一路补到 4.7。只要使用 4.7 以上版本，理论上仍在被保护，不能以老版本没人管为借口不升级。
