缓慢地告别 WordPress

WordPress 是开源领域的伟大成功之一。它起初是一个博客工具，后来成长为支撑网络很大一部分的软件，可以免费使用、自由修改，拥有由主题、插件和托管商组成的生态，几乎让任何人都能发布内容。

作为代理机构，我们多年来一直在搭建和维护 WordPress 网站，许多优秀的网站至今仍运行在它上面。这不是一篇讣告。但有三件事同时发生了变化，网站运行在 WordPress 上的企业应该了解全部三件：份额掉头了，风险在插件里，而项目的领导层陷入了一场长达两年的纠纷，如今正走向陪审团审判。

份额掉头了

追踪网站背后技术的 W3Techs 显示，WordPress 在近十年的大部分时间里一路攀升：从 2015 年初占所有网站的百分之二十三点三，升至 2022 年初的百分之四十三点二。随后趋于平稳。2025 年 1 月为百分之四十三点六，2026 年 1 月为百分之四十三点零。2026 年 10 月 12 日，这一数字为百分之四十点一。

这仍然超过其他所有内容管理系统的总和，在 W3Techs 能识别出所用系统的网站中占百分之五十八点六。但方向是新的。同一时期，Shopify 占所有网站的比例从百分之四点七增至百分之五点四，Wix 从百分之三点三增至百分之四点二，而 Joomla 和 Drupal 持续萎缩。这类统计取决于方法，所以方向比小数点更重要。

风险在插件里

WordPress 的核心状况良好。追踪该生态的安全公司 Patchstack 统计，2025 年 WordPress 核心只有六个漏洞，全部为低优先级。

围绕核心的生态则是另一回事。Patchstack 统计，2025 年整个 WordPress 新增 11'334 个漏洞，比 2024 年多出百分之四十二。其中百分之九十一在插件中，百分之九在主题中。对其中百分之四十六的漏洞，开发者在漏洞公开时还没有准备好修复。而对于攻击者最积极利用的那些漏洞，从披露到被大规模利用的中位时间是五个小时。

Patchstack 售卖的正是针对这类问题的防护，所以对它的表述要保持一贯的审慎。不过，这个模式是结构性的。一个企业网站往往运行着来自许多作者的许多插件，每个插件都有自己的更新节奏、自己的质量和自己的商业模式。每一个都是公开服务器上的代码。让它们保持最新是每周的工作，而偏偏是被跳过的那几周最要紧。

两年动荡

2024 年 9 月，在 WordCamp US 大会上，Automattic 首席执行官、WordPress 项目的领军人物 Matt Mullenweg 呼吁社区不要再向 WP Engine 付费，后者是最大的 WordPress 托管商之一。在随后发布的一篇文章中，他称该公司是 WordPress 的“癌症”。Mullenweg 此前曾要求 WP Engine 为使用 WordPress 商标支付特许权使用费：其月度总收入的百分之八。

9 月 25 日，WordPress.org 禁止 WP Engine 使用其资源，导致 WP Engine 托管的部分网站无法更新插件和主题。10 月，WP Engine 起诉 Automattic 和 Mullenweg，WordPress.org 则接管了 WP Engine 维护的热门插件 Advanced Custom Fields。12 月，一位联邦法官发布初步禁令，恢复了 WP Engine 的访问权限，并将该插件归还给它。

随后的事态对项目的伤害比对托管商更大。2025 年 1 月，Automattic 把承诺对 WordPress 的贡献从每周约 2'560 小时削减到约 45 小时，以便把资源投入法律战。4 月，它裁减了百分之十六的员工，WordPress 宣布 6.8 将是 2025 年最后一个主要版本。5 月底，Automattic 改变方针，重新投入核心开发。6 月，Linux Foundation 推出了 FAIR，一个联邦式的插件和主题仓库，其设计让任何单一来源都无法控制更新。

此案远未结束。2026 年 9 月 24 日，法官恢复了她一年前驳回的 WP Engine 反垄断诉求，并认定 Automattic 和 Mullenweg 既不是他们所主张的 WordPress 商标的所有者，也不是其注册人。Automattic 的大部分反诉也得以保留。为期十天的陪审团审判定于 2027 年 10 月进行。

这对使用 WordPress 的企业意味着什么

这一切都不会让 WordPress 网站一夜之间变得不安全。一套维护良好的安装，插件不多，托管商可靠，并有一位指定的人负责更新，就能为企业服务多年。对于博客、小型宣传网站，或是熟悉这个平台的团队来说，留下来往往是明智的选择。

过去两年暴露出来的，是依赖关系。一个网站的更新、插件以及对其供应链的信任，都要经过同一个仓库，而有一段时间，关于这个仓库的决定是在一场商业纠纷中做出的。再加上一个近一半新漏洞在修复之前就已公开的生态，问题就不再是 WordPress 能不能用，而是企业愿意让网站的多少部分建立在自己无法掌控的组件之上。

构建型网站，上面加一层 CMS

这就是为什么越来越多的企业转向构建型网站：网站由代码编译成快速的页面，上面再加一层内容管理系统，供编辑人员使用。这样，公开网站上就没有插件，也没有可供攻击的后台登录入口。每一项修改都要经过构建，并在上线前经过测试。内容存放在企业自己拥有的文件中，而不是由某家供应商决定结构的数据库里。

取舍是真实存在的。构建型网站增加新功能需要开发者，而 WordPress 几乎什么都有现成的插件。编辑体验也必须做好，否则营销团队不出一周就会怀念旧的后台。

Studio 正是为这个问题而生。它的核心是一个建立在 Next.js、Vite 或 TanStack 网站之上的 CMS，公开网站上没有插件，也没有 PHP。每一次发布都会经过检查、构建一次、测试、上线、验证，一旦出现任何问题就自动回滚，每一次发布都会把内容提交到企业自己的代码仓库。编辑点击一个词就能修改，并看到线上页面的效果。Studio 目前处于抢先体验阶段。

构建、测试和回滚，可以交给机器。页面说什么，以及它是否好到可以发布，仍由为之负责的人决定。

从哪里开始

清点您的插件，写下每个插件由谁维护、上次更新是什么时候、它的作用是什么。删除没人需要的插件。确保每个插件，包括付费插件，都能收到更新，并由一位指定的人每周检查。把您的内容导出一次，看看万不得已时能否迁移。

然后有意识地做决定。在 WordPress 对您有用的地方保留它，减少组件，明确负责人。在网站对业务至关重要的地方，加了一层 CMS 的构建型网站值得一谈。