一项新的新加坡研究发现，四分之三的本地企业运营的网站至少存在一个可检测的WordPress漏洞。由Equinet Academy于2026年8月31日发布的《新加坡WordPress网站网络安全研究》，与Cutlazz Cyber Consulting合作，检查了102个由新加坡企业运营的公开可访问的WordPress网站。
通过在2026年4月至8月之间进行被动自动扫描，研究人员发现80.4%的网站至少存在一个可识别的漏洞，33.3%的网站属于高风险或严重风险类别。有七个网站被评为严重风险。
在样本中，1853个确认的漏洞与已记录的CVE相匹配，平均风险评分为42.1（满分100），将该组置于“提升风险”的上限。
过时软件导致WordPress漏洞
老旧软件是一个反复出现的主题。在102个网站中，有41个（40.2%）运行着过时的WordPress核心版本，有些版本可以追溯到2015年。值得注意的是，每个被标记为严重风险的网站也在运行过时的核心软件。
插件进一步增加了暴露风险：70.6%的网站至少有一个确认CVE的插件，65.7%的网站至少有一个过时的插件，总共记录了199个过时插件的安装。
其他发现包括：
56.9%的网站公开暴露了XML-RPC
54.9%的网站公开可访问wp-cron
29.4%的网站通过robots.txt泄露了其登录路径
大多数漏洞源于例行维护，而非复杂攻击
研究得出的结论是，这些CMS设置中的许多漏洞并不是高级黑客技术的产物，而是由于被忽视的维护和未更改的默认配置造成的。
Equinet Academy的创始人兼董事总经理Dylan Sun表示，结果表明WordPress安全性往往归结于基本问题，而不是复杂的防御措施。他指出，未打补丁的软件和未经审查的配置会随着时间的推移积累风险，定期更新系统和检查公开暴露是企业减少可避免风险的实用方法。
方法论和局限性
研究人员使用WPSec自动扫描器评估公开可见的数据——WordPress版本、插件清单、CVE匹配、头部配置和暴露的端点——而未尝试进行身份验证访问、暴力破解或利用发现的任何缺陷。
结果反映了可见指标的快照，而不是全面审计，检测到的漏洞并不一定意味着网站已被入侵。尽管如此，研究指出，相同的信息对进行例行扫描的潜在攻击者同样可被发现。
合规性和商业影响
对于收集个人数据的网站，CMS软件中未解决的漏洞可能在新加坡的《个人数据保护法》（PDPA）下带来合规风险，该法要求合理的安全保障。
报告建议企业在其网站上采用HTTPS，保持WordPress核心和插件的最新，禁用未使用的XML-RPC功能，审查登录路径的可见性，限制对readme.html和wp-cron.php等文件的访问，并至少每季度进行一次安全扫描。
新加坡研究分析了由新加坡注册域名或新加坡托管IP选择的网站，重点关注中小型企业，同时排除了跨国子公司。