UpdraftPlus 严重漏洞 CVE-2026-10795：SiteGround 52 分钟修完 12.8 万个站

短版本

如果你的网站用了 UpdraftPlus 备份插件，事情是这样的：

• 插件里发现了一个严重漏洞（Critical severity）。
• SiteGround 已经替所有受影响的托管站点强制升级到了修复版本。
• 你现在已经受保护，不需要做任何操作。

下面是详细经过、技术分析和作为站长应该养成的习惯。

你的站点已经被保护

2026 年 6 月 11 日，SiteGround 工程团队对平台上所有运行受影响 UpdraftPlus 版本的托管站点执行了强制升级。每一个受影响的安装都被推到了 1.26.5——这是包含官方修复的版本。

数字：超过 128,000 个站点在漏洞版本上运行，全部被修复。

在推送之前，SiteGround 测试了各条升级路径（1.24.x → 1.26.5、1.25.x → 1.26.5、1.26.x → 1.26.5），没有发现问题。他们不预期这次升级会导致任何站点故障。

漏洞是什么

漏洞编号 CVE-2026-10795，类型是 Unauthenticated Authentication Bypass（未授权认证绕过），影响 UpdraftPlus 1.26.4 及以下所有版本。

用大白话说：攻击者不需要任何用户名或密码，就能拿到 WordPress 站点的管理员权限。拿到管理员权限之后，他们可以在站点上执行任意代码——这基本上是插件漏洞里最严重的一档。

「未授权」这三个字是让它成为 Critical 的关键。很多漏洞需要攻击者已经有某种低权限账号（比如 Subscriber 或 Contributor），才能提权。而这个漏洞什么前提都不需要——任何知道漏洞细节的人，对任何运行漏洞版本的站点，都能直接下手。

SiteGround 是怎么响应的

漏洞一披露，SiteGround 团队用了不到 1 小时就完成了主动更新——赶在攻击者大规模扫描利用之前把暴露窗口关掉，而不是等站长自己手动更新（那时候可能已经被黑了）。

响应流程：

1. 识别：扫描平台上所有运行 UpdraftPlus 1.24.x、1.25.x、1.26.x 的托管站点。
2. 测试：先在测试环境把 1.24.x → 1.26.5 以及其他受影响版本 → 1.26.5 的升级路径跑一遍，确认不会造成问题。
3. 强制升级：把 128,000+ 个受影响安装全部推到 1.26.5。
4. 完成：整个流程 ~52 分钟。

这个响应速度是主机商里第一档的水平。做对比：很多主机商的做法是「发个邮件通知客户自己更新」，从漏洞披露到大部分客户完成更新，通常是几天到几周——这段时间里站点是完全暴露的。

会影响我的网站吗

不预期会。这几个版本之间的插件升级在推送前已经过测试，没有发现问题。

但如果你想额外求个安心，两件一分钟能做完的检查：

• 打开 UpdraftPlus 设置，确认你的备份计划还是你原来配置的样子（频率、保留份数、远程存储位置）。
• 确认最近一次备份成功完成（看备份日志的最新一条状态）。

两个都在 WordPress 后台里，加起来不到一分钟。

为什么 SiteGround 要「强制」更新

这是一个有争议的做法，SiteGround 的解释是这样的：

当一个漏洞满足三个条件——Critical 严重度、可被简单利用、已经公开披露——每延迟一小时都要付出代价。攻击者在这类漏洞披露后几小时内就开始扫描互联网上还在跑漏洞版本的站点。等每个站长自己看到通知、登录后台、点更新按钮，需要几天到几周，这段时间里成千上万的站点是完全暴露的。

在这种情况下，SiteGround 的选择是：先修复，后通知。他们相信主动更新相比「让站点开着门等被接管」永远是更好的取舍。

这不是 SiteGround 一家的做法。Kinsta、WP Engine 这类高端 WordPress 托管商在遇到 Critical 级别的插件/主题漏洞时也会做类似强制推送。区别在于覆盖速度和沟通透明度。

站长应该养成的习惯

即便你不在 SiteGround 上，这次事件也是一个提醒。三条建议：

1. 打开插件自动更新

WordPress 从 5.5 开始支持插件级自动更新。SiteGround 也提供了自己的 SiteGround Autoupdate 插件，可以更细粒度地控制哪些插件自动更新、什么时候更新、更新前是否先备份。

自动更新是应对漏洞最有效的一条习惯——没有之一。手动更新的问题不是「不想做」，是「来不及做」：漏洞披露到攻击者开始扫描之间的窗口通常只有几小时，人工不可能这么快。

2. 精简插件数量

每一个插件都是一个潜在的攻击面。定期审查你安装的插件：

• 不用的直接删（不是禁用，是删除）。
• 超过一年没更新的插件要警惕，作者可能已经不再维护。
• 功能重复的插件只留一个。
• 来自不明作者的免费插件要小心，尤其是那种在 wordpress.org 上评分很低或者安装量很少的。

一个健康的 WordPress 站点，插件数量通常应该控制在 10-20 个以内。超过 30 个就该做减法了。

3. 备份不能只有一个

UpdraftPlus 是备份插件——它自己被攻击这件事很有讽刺意味，也提醒我们：备份不能只依赖一个渠道。

推荐三层：

• 主机层每日备份：SiteGround 所有方案都带每日自动备份，保留 30 天，可以一键还原。这是最外面的一层保险。
• 插件层异地备份：UpdraftPlus 或类似插件，把备份推到 Google Drive / Dropbox / S3 等异地存储。
• 本地/离线备份：重要站点每月做一次全量导出，存到本地硬盘或者离线介质。

三层里任何一层挂了，还有其他两层能救你。

如果你不在 SiteGround 上

这次事件里 SiteGround 主动帮客户挡了一颗子弹。但如果你在其他主机上，需要自己确认：

1. 登录 WordPress 后台 → 插件页面，看 UpdraftPlus 的版本号。
2. 必须 ≥ 1.26.5。如果低于这个版本，立刻点「更新」。
3. 更新完之后，检查备份计划和最近一次备份状态（前面提过的一分钟检查）。
4. 如果你更新前已经是被攻击的目标，可能需要额外做安全扫描（Wordfence、Sucuri 之类）确认没有留后门。

结语

漏洞响应速度是选择主机商时最容易被忽视、但可能最重要的一个维度。你平时看不到它，但出事的那天它决定你的站点是「52 分钟内被修复」还是「几天后被黑掉」。

选主机的时候，别只看价格和性能参数。看看这家主机商过去的漏洞响应记录、有没有主动强制更新机制、有没有自己的安全团队。这些东西在正常运行时看不到，出事的时候一分一秒都是钱。

想深入了解 WordPress 安全，可以看我们的网站安全漏洞完全指南；想聊性能优化，看网站性能优化实战。想直接体验 SiteGround 的漏洞响应机制，去火箭云中文站了解方案。

参考

• CVE-2026-10795 官方记录：cve.org
• SiteGround Autoupdate 插件教程：siteground.com/tutorials
• 原文：Critical UpdraftPlus vulnerability patched across all SiteGround WordPress hosted sites