---
title: WordPress 外掛漏洞通知，要馬上更新嗎？
description: 漏洞通知依版本落差分級：同小版本直接更、跨小版本先測試站、跨大版本要完整回歸；未登入可利用的排最前。
url: "https://wptoolbear.com/docs/plugin-vulnerability-notice-update-now/"
updated: "2026-09-13"
category: 更新與相容（外掛／PHP／WordPress）
---

# WordPress 外掛漏洞通知，要馬上更新嗎？

**快速答案：**要更新，但不是每一支都直接在正式站按下去。先看版本落差：同一個小版本內的修補直接更；跨小版本先在測試站更；跨大版本一定要測試站加完整檢查。未登入就能利用的漏洞（遠端執行程式、任意上傳檔案）排最前面。

## 為什麼會這樣

漏洞一公告，攻擊者幾天內就會掃遍全網找還沒補的站，等於鑰匙被公開了。但盲目更新也會出事：頁面編輯器、表單外掛、電商外掛的大版本更新常常跑版或改資料結構，正式站一按下去就回不去。所以我們把「補漏洞」當成分級作業，而不是全部一鍵更新。

## 怎麼處理

1. 分級。看通報內容：「未登入即可利用」、等級 Critical 或 High 的，插隊優先處理，不要排到下一次例行維護；需要管理員權限才能利用的低風險漏洞，才跟著例行維護走。
2. 看版本落差。例如 4.2.1 到 4.2.3 屬同一小版本，直接在正式站更；4.0 到 4.2 先測試站；3.x 到 4.x 測試站加上逐頁檢查排版、表單、選單、頁尾。
3. 更新前先做一個備份點。
4. 後台看不到更新按鈕時，先確認付費授權有沒有連上；但也可能只是原廠分批推送還沒輪到你。這時從原廠帳號下載正式安裝檔覆蓋安裝，不要裝來路不明的版本。
5. 更新後清快取，檢查首頁、一頁排版最複雜的頁面、表單送出、購物車到結帳、後台編輯器能開能存。
6. 確認漏洞在哪一支：Pro 版的漏洞，更新免費版不會修。
7. 暫時補不了的（授權過期、核心太舊），先開防火牆的 WAF 擋著，並排時間處理根本原因。

## 我們實際遇過的情況

前陣子某頁面編輯器的 Pro 版公告一個遠端執行程式的漏洞，我們依版本落差決定作法：同小版本的當天直接更新；版本落差大的，理想是先在測試站跑過最關鍵的幾個頁面與表單，但若漏洞是未登入就能利用的等級，也可能先補洞、更新後立刻逐項檢查。其中有一批站在後台查不到更新。這種情況先確認付費授權有沒有連上，授權沒問題就改用官方安裝檔覆蓋就好。

某表單外掛的 2.x 系列公告了高風險漏洞，我們批次更新受影響的站。跨大版本的新版外掛常要求較新的 WordPress 核心，核心太舊的站會裝不上去，得先把核心升上來才補得了洞。近期某課程外掛也有多筆已公告漏洞，因為是會員登入站，排定先在測試站測課程頁、登入、購課，再上正式站。

## 什麼時候該找人

站上很多外掛都落後兩三個大版本、付費授權早就過期、或 WordPress 核心停在很舊的版本。這種站補一個漏洞會牽動一連串更新，順序錯了整站跑版或掛掉。

## 常見問題

### 後台沒出現更新按鈕是授權過期嗎？

不一定，也可能是原廠分批推送還沒輪到。確認授權正常後可下載官方安裝檔覆蓋，不要裝來路不明的版本。

### 更新免費版 Elementor 能修 Pro 版的漏洞嗎？

不能，漏洞在哪一支就要更新哪一支，Pro 版的洞只有 Pro 版更新才會修。

### 暫時無法更新的外掛怎麼辦？

先開防火牆 WAF 擋針對該漏洞的請求，並盡快處理授權或核心版本的根本問題。

想有人每月幫你追漏洞通報並分級處理：[網站守護方案](https://wptoolbear.com/guardian/)。先看現在有多少洞：[免費健檢](https://wptoolbear.com/wordpress-website-health-check/)。