WordPress 外掛漏洞通知，要馬上更新嗎？

為什麼會這樣 #

漏洞一公告，攻擊者幾天內就會掃遍全網找還沒補的站，等於鑰匙被公開了。但盲目更新也會出事：頁面編輯器、表單外掛、電商外掛的大版本更新常常跑版或改資料結構，正式站一按下去就回不去。所以我們把「補漏洞」當成分級作業，而不是全部一鍵更新。

怎麼處理 #

1. 分級。看通報內容：「未登入即可利用」、等級 Critical 或 High 的，插隊優先處理，不要排到下一次例行維護；需要管理員權限才能利用的低風險漏洞，才跟著例行維護走。
2. 看版本落差。例如 4.2.1 到 4.2.3 屬同一小版本，直接在正式站更；4.0 到 4.2 先測試站；3.x 到 4.x 測試站加上逐頁檢查排版、表單、選單、頁尾。
3. 更新前先做一個備份點。
4. 後台看不到更新按鈕時，先確認付費授權有沒有連上；但也可能只是原廠分批推送還沒輪到你。這時從原廠帳號下載正式安裝檔覆蓋安裝，不要裝來路不明的版本。
5. 更新後清快取，檢查首頁、一頁排版最複雜的頁面、表單送出、購物車到結帳、後台編輯器能開能存。
6. 確認漏洞在哪一支：Pro 版的漏洞，更新免費版不會修。
7. 暫時補不了的（授權過期、核心太舊），先開防火牆的 WAF 擋著，並排時間處理根本原因。

我們實際遇過的情況 #

前陣子某頁面編輯器的 Pro 版公告一個遠端執行程式的漏洞，我們依版本落差決定作法：同小版本的當天直接更新；版本落差大的，理想是先在測試站跑過最關鍵的幾個頁面與表單，但若漏洞是未登入就能利用的等級，也可能先補洞、更新後立刻逐項檢查。其中有一批站在後台查不到更新。這種情況先確認付費授權有沒有連上，授權沒問題就改用官方安裝檔覆蓋就好。

某表單外掛的 2.x 系列公告了高風險漏洞，我們批次更新受影響的站。跨大版本的新版外掛常要求較新的 WordPress 核心，核心太舊的站會裝不上去，得先把核心升上來才補得了洞。近期某課程外掛也有多筆已公告漏洞，因為是會員登入站，排定先在測試站測課程頁、登入、購課，再上正式站。

什麼時候該找人 #

站上很多外掛都落後兩三個大版本、付費授權早就過期、或 WordPress 核心停在很舊的版本。這種站補一個漏洞會牽動一連串更新，順序錯了整站跑版或掛掉。

想有人每月幫你追漏洞通報並分級處理：網站守護方案。先看現在有多少洞：免費健檢。