7 月最重要的是 WordPress 7.0.2 緊急安全版：核心的 SQL 注入加上 REST batch 路由混淆可串成遠端攻擊（俗稱 wp2shell），已列入 CISA KEV。Node.js、Drupal、Joomla 也各有例行安全版。
本月重點一覽
| 項目 | 類別 | 嚴重度 |
|---|---|---|
| WordPress 7.0.2 緊急安全版（wp2shell） | CMS | 嚴重｜CVSS 9.8｜CISA KEV |
| Node.js 7 月安全更新：11 個 CVE | Node.js | 高 |
| Drupal 核心 3 則 XSS／資訊揭露（SA-CORE-2026-010～012） | CMS | 中度嚴重 |
| Joomla 5.4.7／6.1.2：12 項修補 | CMS | 中（Joomla 自評） |
WordPress 7.0.2 緊急安全版（wp2shell）
類別：CMS 嚴重度：嚴重｜CVSS 9.8｜CISA KEV
7 月 17 日發布，修補「一個嚴重與一個高風險」核心問題：WP_Query 的 SQL 注入（CVE-2026-60137）與 REST API batch 路由混淆（CVE-2026-63030），預設設定的 6.9.0～6.9.4、7.0.0～7.0.1 即受影響。官方對受影響網站強制自動更新；CISA 於 7 月 21 日列入已遭利用清單。
處置建議：確認網站已是 7.0.2 以上（目前請直接升到 7.1.4）；關閉自動更新的網站務必手動檢查。
來源：WordPress.org 安全公告分類、CentralCSP 整理
Node.js 7 月安全更新：11 個 CVE
類別：Node.js 嚴重度：高
7 月 29 日（兩度延後）發布。高風險：HTTP/2 保留標頭繞過 maxSessionMemory（CVE-2026-56846）、HTTP/2 重入造成 heap use-after-free（CVE-2026-56848）、Permission Model 前綴比對過度授權（CVE-2026-58043）。另有 HTTPS Agent 重用 mTLS 身分、HTTP 標頭截斷可造成請求走私等。
處置建議：升級到 v22.23.2／v24.18.1／v26.5.1 以上。
來源：Node.js 官方公告
Drupal 核心 3 則 XSS／資訊揭露（SA-CORE-2026-010～012）
類別：CMS 嚴重度：中度嚴重
7 月 15 日：Image 資訊揭露（CVE-2026-15916）、HTMX XSS（CVE-2026-15917）、Layout Builder XSS（CVE-2026-55805）。
處置建議：升級到當月安全版。
Joomla 5.4.7／6.1.2：12 項修補
類別：CMS 嚴重度：中（Joomla 自評）
7 月 7 日修補 com_media／com_contact／com_workflow／com_modules／com_privacy／com_fields 等存取控制問題與多處 XSS（CVE-2026-48947～48958）。
處置建議：升級到 5.4.7／6.1.2 以上。
站長檢查清單
- PHP、Node.js、網頁伺服器（Apache／NGINX／LiteSpeed）與 cPanel 都要跟上各分支最新修補版，停止支援的版本（PHP 8.1 以下、Drupal 10.6／11.3 以前）要規劃遷移。
- WordPress、Drupal、Joomla 核心與外掛開啟自動安全更新；停用、刪除用不到的外掛。
- 定期檢查是否出現陌生的管理員帳號，uploads 目錄禁止執行 PHP。
- npm 專案鎖定版本、CI 停用安裝腳本；發生供應鏈事件時輪替所有憑證。
本文依各官方公告與資安廠商公開資料整理，版本與評分以原始公告為準；整理日期 2026-10-29。