WordPress 7.1.3 修了 7 个安全问题，官方为什么强调只有最新版在活跃支持里
WordPress 7.1.3 修了 7 个安全问题，官方为什么强调只有最新版在活跃支持里？公告同时说了两件事：这是一次包含 7 个安全修复与 4 个缺陷修复的维护与安全版本，建议站点立即更新；安全修复会回补到早至 4.7 的受支持分支，但只有最新版本的 WordPress 处于活跃支持——旧分支收得到补丁，却收不到常规维护。把这句读明白，对排补丁窗口很有帮助：「还在支持里」的错觉常常是回补动作撑出来的。
公告里修的是哪几类问题
七个安全修复大致分三类：
| 类别 | 公告中的例子 | 影响面 |
|---|---|---|
| 跨站脚本 | 评论管理页经待审评论触发的存储型问题、特定嵌入内容的问题 | 借助内容或后台渲染生效 |
| 注入与资源耗尽 | 内容导出流程里的二阶 SQL 注入、某个网络方法造成的拒绝服务 | 数据读取与站点可用性 |
| 权限边界 | 作者角色可越权置顶文章、未认证状态下私有内容的留言可见 | 角色体系与信息暴露 |
四类缺陷修复之外，公告列名感谢了报告这些漏洞的团队与个人。对企业站点来说，这份清单的价值在于对照自查：自己的入口形态是否正好落在被修的面上。
回补所有分支为什么不等于都在支持
回补是礼节性动作：安全修复向下推到还能收到补丁的分支；活跃支持的承诺只给最新版——缺陷修复、兼容性调整、例行点版本都停在旧分支外面。停在旧分支的站点看似「都修到了」，实际在累积扩展与主题的兼容欠账。补丁窗口的正确排序是：先把本体升到活跃支持内的版本，再处理外围。
打补丁前怎么用备份留退路
先升了再看效果，是企业站点最典型的事故路径。稳妥顺序是：窗口开启前做一次完整数据备份（静态文件也要包含在内），生产执行前再快照一次，更新后逐项验证登录、发布、表单这些关键链路。AnQiCMS 的备份与恢复支持含静态文件的数据备份和恢复，补丁期的意图相同——升级出问题先回退再排查，不要在线上数据上边改边试。
自有系统的高危修复要跟着做什么
同类公告放到自己系统上也要走一遍。AnQiCMS 的 v3.6.6 版本（2026 年 10 月 8 日发布）修复了两项高危问题：列表排序参数触发的 SQL 注入，以及站点切换时可被伪造的登录凭证；公告给出的升级建议是随后轮换站点签名密钥并修改管理员密码。内置的 JWT 认证、内容敏感词过滤等防线能降低此类问题的落地面，但修复之后的凭证轮换这一步不能省。
常见问题
问：站点停在旧分支、能收到回补补丁，算安全吗？ 答：修补层面覆盖得到，但旧分支不在活跃支持内，外围兼容与常规缺陷没人兜底，长期看仍要计划升级。
问：补丁窗口前的备份最低标准是什么？ 答：数据库加静态文件，并且实际验证过恢复流程。没验证过的备份不算备份。
问：AnQiCMS 侧有类似节奏吗？ 答：有。v3.6.6 对高危问题出修复并写明配套动作：升级、轮换站点签名密钥、修改管理员密码；防 SQL 注入与 XSS 的机制、敏感词过滤属于日常内置的防线。