WordPress 安全团队披露了两个高危漏洞后，Cloudflare 已部署两条新的 WAF 规则，为使用受影响 WordPress 版本的 Cloudflare 客户提供防护。这个动作能缩短漏洞披露与站点修复之间的暴露窗口，但它不能替代版本升级：站点管理员仍应尽快更新到已修补的 WordPress 版本。
WAF 解决的是暴露窗口，不是漏洞本身
WAF 位于访问者与 WordPress 站点之间，可以检查进入源站的 HTTP 请求，并拦截符合攻击特征的流量。Cloudflare 将新规则部署到边缘网络后，攻击请求有机会在到达 PHP、Web 服务器和数据库之前被拒绝。
这类防护尤其适合应对漏洞刚披露时的紧急阶段：管理员可能还在确认兼容性、准备备份或安排维护窗口，而自动化扫描器已经开始寻找未修补站点。
不过，WAF 只是补偿性控制。它不会修改服务器上的 WordPress 文件，也不会消除存在缺陷的代码。以下情况仍可能绕过边缘防护：
- 攻击者能够直接访问未受 Cloudflare 代理保护的源站 IP。
- 某些域名或子域名没有经过 Cloudflare。
- 内网、管理网络或其他入口可以直接访问应用。
- 规则被停用、跳过，或者受到自定义放行策略影响。
- 新的攻击变体不再符合既有检测特征。
因此，正确的优先级不是“启用 WAF 或升级 WordPress”二选一，而是先确认边缘规则生效，同时尽快完成应用升级。
立即核对 WordPress 版本与更新状态
如果服务器安装了 WP-CLI，可以这样实践。运行前先进入 WordPress 根目录，并确认当前账号有权读取和修改站点文件：
cd /var/www/html
# 查看当前核心版本以及是否存在可用更新
wp core version
wp core check-update
# 备份数据库；请将备份目录替换为受保护的位置
mkdir -p "$HOME/wordpress-backups"
wp db export "$HOME/wordpress-backups/db-$(date +%F-%H%M%S).sql"
# 更新到当前渠道提供的已修补版本
wp core update
# 验证核心文件未被意外修改，并再次检查版本
wp core verify-checksums
wp core version
wp core update 应先在测试或预发布环境执行，尤其是运行旧版 PHP、定制主题或关键业务插件的站点。来源摘要没有给出具体受影响版本和修补版本，因此不要根据本文猜测目标版本；应以 WordPress 官方安全公告和站点实际显示的更新信息为准。
如果没有 WP-CLI，可以登录 WordPress 管理后台，在“仪表盘 → 更新”中检查核心版本。无论采用哪种方式，都应在更新前备份数据库和上传文件，并验证备份能够恢复。
检查流量是否真正经过 Cloudflare
Cloudflare 规则只有在请求经过其代理时才能发挥作用。可以先检查公开域名的响应头：
curl -sS -D - -o /dev/null https://example.com/ | sed -n '1,20p'
运行前将 example.com 替换为实际站点域名。响应中常见的 server: cloudflare、cf-ray 等头部可以作为流量经过 Cloudflare 的线索，但具体响应可能受到配置影响，不能仅凭单个头部完成安全审计。
还应确认 DNS 记录已启用 Cloudflare 代理，并限制源站只接受可信入口。下面是一种可以改造的 Ubuntu ufw 操作框架，示例中的网段必须替换为 Cloudflare 当前公布的官方 IP 网段；不要直接把占位值用于生产环境：
# 示例假设 SSH 已经被明确放行，否则可能把自己锁在服务器外
sudo ufw allow 22/tcp
# 用 Cloudflare 官方 IPv4/IPv6 网段逐条替换占位值
sudo ufw allow from 192.0.2.0/24 to any port 443 proto tcp
sudo ufw allow from 2001:db8::/32 to any port 443 proto tcp
sudo ufw status numbered
限制源站访问前，必须盘点健康检查、监控系统、内部 API、证书签发流程和运维入口。仓促关闭端口可能造成生产中断；遗漏限制则可能让攻击者绕过 WAF 直接访问源站。
从紧急拦截转向可验证的修复
一次完整的处置至少应覆盖以下事项：
- 确认站点是否运行受影响的 WordPress 版本。
- 检查 Cloudflare WAF 是否启用，以及是否存在跳过或放行规则。
- 备份数据库、上传文件和必要配置，并测试恢复流程。
- 在预发布环境验证核心、主题、插件和 PHP 版本的兼容性。
- 将生产站点升级到 WordPress 官方提供的已修补版本。
- 检查日志中异常请求、管理员账号变化、文件修改和未知计划任务。
- 验证所有公开入口都经过 Cloudflare，必要时限制源站网络访问。
Cloudflare 部署规则降低了已知攻击在边缘层穿透的概率，为管理员争取了修复时间。真正结束风险的动作仍然是安装补丁、验证站点完整性并排除既有入侵。对 WordPress 运维来说，WAF 是缓冲带，及时升级才是修复闭环。