按框架
WordPress 安全 — 它为何被瞄准，以及最低限度的守护方法
WordPress 因份额最大而最常被瞄准——主要通过插件/主题漏洞、疏于更新、弱管理员，以及暴露的管理面（wp-admin/xmlrpc）。最低限度的防御是：自动更新、插件最小化、强认证（2FA）、限制管理面暴露、备份。以防御视角讲解，不含攻击步骤。
适用对象：运营 WordPress 站点的人。这里不讲攻击步骤——只讲**它为何被瞄准，以及最低限度的守护方法。**关于跨框架的整体图景，参见 按框架的安全防护入口。
它为何被瞄准：入口几乎是固定的
对 WordPress 的攻击并非魔法——自动化的暴力尝试只是在探测一组固定的弱点。知道了入口，也就知道了该堵哪里。
① 插件/主题漏洞
第三方代码里的已知漏洞。最大的入口。一旦被放任或作者弃用，漏洞就一直敞着。
② 疏于更新
核心/插件的补丁未应用。自动化工具专挑已公开的 CVE 下手。
③ 弱/复用的管理员
admin + 弱密码 + 无 2FA。通过登录暴力破解或泄露密码复用被接管。
④ 暴露的管理面
wp-admin/xmlrpc/REST 用户枚举。成为暴力破解或放大攻击的跳板。
最低限度的防御（5 步）
按顺序堵住 WordPress 特有的陷阱。每一步都在管理面板或配置里就能完成。
自动化更新（最高优先级）
让插件/主题最小化
给管理员配强认证（2FA）
admin，并把权限保持在最小限度。（→ 2FA 是什么）限制管理面暴露与登录尝试
xmlrpc.php，并抑制 REST API 的用户枚举。若能限制管理面板可从何处被访问，则更好。备份与篡改检测
常见（危险）
- 核心和插件手动更新，然后放任不管
- 不用的插件/主题仅仅停用
- 管理员
admin+ 弱密码 + 无 2FA - 登录尝试、xmlrpc、用户枚举全都敞开着
正确
- 核心/插件/主题开自动更新
- 不用的扩展删除以最小化
- 管理员配强密码 + 2FA、最小权限
- 登录尝试限制、关闭不需要的功能、可恢复的备份
本站的视角：管理的是“扩展与放任”，而非核心
对 WordPress 有效的，不是花哨的配置，而是“别过度添加扩展、别放任不管”这种运营纪律。插件很方便，但每多一个，就多一份“持续更新的责任”。本站的原则和对待任何技术都一样：把依赖（插件）最小化、自动化更新，并以强认证和可恢复的备份来守护。看起来是 WordPress 特有的，其实是把普适的地基加以应用。插件的 CVE 也可用 CVE/KEV 查询 来核对。
接下来读
- 入口：按框架的安全防护 · Laravel 安全
- 地基：漏洞（CVE）应对实务 · 备份基础
- 认证：2FA 是什么 · 术语：钓鱼是什么（瞄准管理员的最主要路径）
FAQ
QWordPress 危险吗？
WordPress 核心一直在被积极维护，其本身并非特别脆弱。危险的是用法。它最大份额的地位使其成为自动化攻击的易攻目标，而真实的入侵大多并非来自核心，而是来自第三方插件/主题漏洞、疏于更新、弱管理员账户，以及暴露的管理面。反过来说：把这些堵住，就能削减掉大部分风险。
Q插件装到什么程度算太多？
原则是『只装必需的最小限度』。每个插件都会扩大攻击面，而其中任何一个只要疏于更新或被作者弃用，就会变成漏洞。安装前先确认更新频率、采用情况和最后更新日期；对不用的东西，请直接删除而不是仅仅停用（停用后残留的文件仍可能成为漏洞的攻击对象）。主题同理。
Q最低限度该做什么？
(1) 为核心、插件、主题启用自动更新；(2) 删除不用的插件/主题以减少数量；(3) 给管理员账户配强密码和双因素认证（2FA）；(4) 限制管理面（wp-admin/登录）的暴露与登录尝试次数；(5) 保留可恢复的离线备份并配篡改检测。这五点能挡住大部分自动化攻击。