你刚上传的主题，可能根本没经过你同意
今天不少客户一上线就问：『后台点“预览”主题，页面突然跳转到陌生域名，是不是被黑了？』——不是错觉。这是 WordPress 新曝出的 Click2Shell 漏洞典型表现。
据公开报道，资安公司 Pwn.ai 一个月前向 WordPress 团队通报该漏洞，9月17日发布 7.1.1 版本紧急修复。它本质是主题预览（Theme Preview）环节的身份验证绕过，攻击者无需登录，就能触发后台主题安装流程，甚至串联其他插件漏洞达成远程代码执行（RCE）。
哪些站主现在就得动？
不是所有 WordPress 站都立刻中招，但三类人要马上看：
- 用非官方渠道下载 WordPress 主题（比如来路不明的「免费WordPress主题」压缩包）；
- 后台开启了「主题预览」且未限制访问权限（尤其多用户站点，编辑者以上角色能进主题库）；
- 同时装了老旧版 WooCommerce、WPForms 或自定义主题预览插件——这些是常见串联入口。
我们经常遇到客户说『我只用了官网下载的主题，应该没问题吧？』——对，但如果你开了预览功能，又没关掉「未登录用户可访问主题库」这个开关，攻击者就能伪造请求，把恶意主题推给你自己的服务器。
7.1.1 更新后，还要手动做两件事
升级只是第一步。很多客户升完发现还是不放心，因为漏洞影响的是「预览机制」本身，而 WordPress 默认保留该功能。
建议立刻检查：
① 关闭非必要预览入口：
在 wp-config.php 底部加一行：
define('DISALLOW_FILE_MODS', true);
这会禁用后台所有主题/插件安装与预览（不影响已启用的主题运行）。
② 清理可疑主题目录：
进服务器终端，执行：
ls -la /wp-content/themes/ | grep '^d'
重点看有没有名称含 shell、rev、phpinfo 或随机字符串的目录，直接 rm -rf 删除。
境外节点部署，备案和延迟怎么权衡？
有客户问：『我用香港VPS跑 WordPress，还要备案吗？』——要。只要面向大陆用户提供服务，且服务器 IP 在境内解析（比如用国内 CDN 回源到香港机器），ICP 备案仍是硬性要求。纯境外访问（如仅服务海外用户）、不走国内网络路径的，可不备案，但你要自己承担 DNS 被污染、回程绕路导致延迟飙高（实测部分线路回程延迟 300ms+）的风险。
日本节点适合面向日韩用户的业务，回程延迟一般高于香港，但本地访问更稳；CN2 GIA 线路贵，但对北上广深杭用户首包延迟压得实在——这条线路值不值多花的钱，得看你的用户在哪。
微码盒提供的 WordPress 主题和 DedeCMS 模板，全部经本地环境测试，不含远程调用、无隐藏后门，适合需要快速建站又怕踩坑的小型团队。但如果你已经用上某款付费主题，别急着换——先查它是否支持 7.1.1 兼容，再决定要不要迁移。
安全不是越贵越稳，是每一步操作都有依据。现在打开你的 WordPress 后台，看一眼「外观 → 主题」右上角有没有「预览」按钮。有，就去关掉；没有，说明你早被别人关过了。
