内容摘要：WordPress 的漏洞，十有八九不是 WordPress 本身的问题。 这话说出来可能有人不爱听，但事实摆在那儿。我见过太多被黑的站点，后台一查，核心程序是最新的，补丁打得比谁都勤快。问题出在哪儿

WordPress 的漏洞，十有八九不是 WordPress 本身的问题。

这话说出来可能有人不爱听，但事实摆在那儿。我见过太多被黑的站点，后台一查，核心程序是最新的，补丁打得比谁都勤快。问题出在哪儿？一个 2018 年就停止更新的老主题，或者某个下载量只有几百的小插件。

举个我经手的例子。去年有个做跨境电商的朋友，网站突然被挂马，谷歌直接给他标了“危险站点”。排查了两天，最后定位到一个叫“WooCommerce 运费计算器”的插件上。这插件作者早就跑路了，代码里留了个后门，专门用来往数据库里塞垃圾链接。你说他冤不冤？他连这插件什么时候装的都记不清了。

插件和主题，才是 WordPress 生态里最脆弱的环节。官方插件库审核其实挺严的，但架不住有些开发者中途放弃维护，漏洞越积越多。黑客就盯着这类“孤儿插件”下手，扫描全网，一抓一个准。

再说个反直觉的事——默认的“管理员”用户名。很多人觉得这不算漏洞，但攻击者根本不用猜，直接拿“admin”去试密码，省了一半功夫。我见过最离谱的客户，密码设成“admin123456”，被爆破成功之后还问我：“他们怎么知道我的用户名？”

说实话，这问题问得我有点无语。但转念一想，普通用户哪懂这些？他们只知道 WordPress 名气大，模板多，装上就能用。至于安全配置，那是“技术员的事”。

还有个容易被忽略的入口——XML-RPC。这玩意儿本来是给老客户端用的，现在基本没人用了，但它默认开着。攻击者可以利用它做分布式密码爆破，一次请求能试几百个密码，效率高得吓人。关掉它，很多暴力破解直接失效。

文件权限也是个老生常谈。我见过不少服务器，wp-config.php 权限设成 777，等于把数据库密码写在门口。有些主机商默认配置就离谱，Apache 跑在 root 权限下，黑客一旦拿到 webshell，整个服务器都跟着沦陷。

说这些不是吓唬人。WordPress 本身其实挺硬核的，核心团队响应漏洞的速度在开源界算快的。问题在于，它的生态太庞大了——插件、主题、服务器环境、用户习惯，每一个环节都可能成为突破口。

你要问怎么防？我的建议简单粗暴：插件能少装就少装，主题选官方或大厂出的，定期删掉不用的东西。还有，别再用“admin”当用户名了，密码也别图好记。这些不起眼的习惯，比装十个安全插件都管用。

最后说句实在话——WordPress 被黑，八成是人祸，不是天灾。程序写得再安全，也架不住用户自己把门敞开。