WordPress 7.2 即将发布（7.1.3 为安全更新）：新功能一览及安全升级指南

今年秋天有两个 WordPress 版本值得关注。WordPress 7.1.3 于 2026 年 10 月 6 日发布，是一次包含七项修复的安全更新，所有网站都应该已经升级到这个版本。WordPress 7.2 是 2026 年最后一个主要版本，已于 10 月 20 日发布 Beta 1，正式版预计于 12 月 8 日推出。

本指南将介绍 7.1.3 修复了哪些问题、7.2 将带来哪些新功能、哪些变更可能影响您的主题或插件，以及如何在不影响线上网站的前提下测试新版本。

WordPress 7.1.3：七项安全修复

WordPress 7.1.3 是一次维护和安全更新，包含 7 项安全修复和 4 项错误修复。它修复的安全问题包括：

• 评论管理页面中的存储型跨站脚本（XSS）问题，可通过待审核评论加以利用；
• WP_Http::make_absolute_url() 中的拒绝服务问题；
• WXR（导出）工具中的二阶 SQL 注入；
• 具有作者角色的用户可以将文章设为置顶；
• 无需登录即可读取私密文章和未发布文章的评论；
• Imgur 嵌入中的 XSS 问题；
• {status}_{type} 钩子中的参数可被伪造，可能导致动作名称冲突。

其中多个问题由 Trail of Bits、OpenAI、Anthropic 和 Patchstack 的安全研究人员报告，这也再次表明，AI 辅助的安全研究如今正在广泛使用的软件中发现越来越多的问题。同样的修复也已纳入 WordPress 7.0.7，并向后移植到所有仍可获得安全修复的分支，最早可追溯至 4.7。不过，只有最新版本才会获得积极支持，因此“继续使用带向后移植补丁的 6.x”并不是长久之计。

此外，在 7.1.3 之前的短短几周内，还发布了另外两个安全更新：7.1.1（9 月 17 日，11 项安全修复）和 7.1.2（9 月 22 日，修复了一个严重漏洞，该漏洞在特定条件下可能让未经身份验证的攻击者执行 PHP 代码）。如果您的网站跳过了其中任何一个版本，就存在安全风险。

确认您已升级到 7.1.3

在后台中，前往 仪表盘 > 更新。已启用自动后台更新的网站应该已经完成升级。也可以通过命令行检查：

# Show the installed version
wp core version

# Update to the latest release, then update the database if asked
wp core update
wp core update-db

# Update plugins and themes too
wp plugin update --all
wp theme update --all

WordPress 7.2 发布时间表

WordPress 7.2 由 Matt Mullenweg 领导，David Baumwald 负责协调，George Mamadashvili 和 Peter Wilson 担任技术负责人。以下是官方时间表：

• Beta 1：2026 年 10 月 20 日（已发布）
• Beta 2、3 和 4：10 月 27 日、11 月 3 日和 11 月 10 日
• 候选版本 1：11 月 17 日，随后是 RC2（11 月 24 日）和 RC3（12 月 1 日）
• 正式版：2026 年 12 月 8 日

此次发布将首次以公开网络研讨会的形式进行直播，任何人都可以观看新版本的发布过程。参与方式将在临近日期时公布。

WordPress 7.2 新功能

全新默认主题 Ipsum

WordPress 7.2 计划内置 Ipsum，这是一款刻意追求极简、如同空白画布的博客主题。它也标志着 Twenty Twenty-Five 这类以年份命名主题的时代结束：今后默认主题将拥有独立的名称，并根据设计需要而更换，不再每年更新。

批注功能更强大，建议模式正在开发中

编辑器的评论功能“批注”新增了表情回应、在画布上直接显示批注以及最小化视图。官方路线图将建议模式列为本周期的核心功能：您可以提出修改建议，由作者决定接受或拒绝。该功能未包含在 Beta 1 中，因此在后续测试版确认之前，请将其视为计划中的功能。实时协同编辑不在 7.2 的范围内。

用于管理凭据的 Secrets API

插件通常会将 API 密钥和密码以明文选项的形式存储在数据库中。7.2 引入了 Secrets API，支持静态加密、凭据轮换和可插拔存储。在 7.2 中，预计只能通过 WP-CLI 进行管理，管理界面计划在 7.3 中推出。如果您开发的插件需要存储第三方凭据，建议尽早采用。

更快的后台与更智能的媒体处理

• 后台脚本和样式现在改为单独加载并支持预取，不再合并加载，因此浏览器能够更好地缓存它们。
• 媒体库会在上传前于浏览器中调整图片尺寸、压缩并转换格式，从而减轻服务器负担。
• 后台菜单和工具栏从 Dashicons 改为使用 WordPress 图标库中的 SVG 图标。

更多功能

Beta 1 还新增了响应式图库控件、文字阴影和渐变、表单元素样式、重新设计的媒体插入器，以及“历史上的今天”仪表盘小工具。AI 功能目前仍保留在官方 AI 插件中：只有在获得实际广泛采用后，才会考虑纳入核心。

可能导致网站出问题的变更

大多数网站都能顺利升级，但以下变更需要重点测试，尤其是当您使用了自定义代码时：

• SQL 模式：数据库连接的 SQL 模式现在默认移除了 NO_BACKSLASH_ESCAPES。依赖该模式的代码需要在 db.php 扩展文件中使用 incompatible_sql_modes 过滤器，因为数据库会在插件加载之前完成连接。
• 图标：约 330 个核心图标现已改为描边式，并设置了 fill: none。通过 fill 为图标重新着色的自定义 CSS 应改用 color。
• 已弃用组件：Divider、ResponsiveWrapper、Scrollable、ZStack 和 Elevation 组件已被弃用，并将在 7.4 中移除。
• 脚本加载：假定后台脚本为合并加载的插件，应根据新的加载方式进行检查。

/* Before: recolouring core icons with fill no longer works in 7.2 */
.my-plugin .components-button svg { fill: #ff9900; }

/* After: icons are stroke-based, so use color */
.my-plugin .components-button svg { color: #ff9900; }

7.2 的 PHP 要求没有变化。最低支持版本仍为 PHP 7.4（自 WordPress 7.0 起），推荐使用 PHP 8.3 或更高版本，搭配 MySQL 8.0+ 或 MariaDB 10.11+。

如何安全地测试 WordPress 7.2

WordPress 项目官方建议在 WordPress Playground、本地网站或预发布网站上测试测试版，并事先做好备份。切勿在客户正在使用的网站上测试。

方式一：网站的预发布副本

这是最有参考价值的测试方式，因为它使用的是您真实的主题、插件和内容。先创建一个预发布副本，然后将其更新到测试版：

# On the staging copy only
wp core version

# Install the current beta (use beta2, beta3... as they come out)
wp core update --version=7.2-beta1

# Or follow the latest development build
wp core update --version=nightly

# Go back to the stable release if needed
wp core update --version=7.1.3 --force

更喜欢点击操作而不是输入命令？可以在预发布网站上安装 WordPress Beta Tester 插件，选择“Bleeding edge”通道并勾选“Beta/RC Only”，然后在 仪表盘 > 更新 中进行更新。

方式二：WordPress Playground

WordPress Playground 可以直接在浏览器中运行完整的 WordPress 7.2 测试版，无需安装任何东西。它非常适合快速体验 Ipsum 和新的编辑器功能，但无法告诉您自己的插件是否能正常运行。

WordPress 更新交给我们

五周内三个安全更新，一个严重的 PHP 补丁，12 月还有一个主要版本：保障 WordPress 安全已经成了一项日常工作。选择 WebGee 托管型 WordPress 主机，您将获得让这一切轻松省心的各项功能：免费 SSL、备份、LiteSpeed 缓存和 7×24 小时 WordPress 支持。Turbo 及以上套餐还包含预发布环境，让您可以先在网站副本上试用 WordPress 7.2。

10 月 PHP2Shell 爆发时，我们的工程师为所有 WebGee cPanel 和托管型 WordPress 服务器完成了修补，客户无需进行任何操作。这正是我们为您分担的维护工作。