WordPress 生態系 2025 年一整年新增了 11,334 個資安漏洞，比 2024 年的 7,966 個多了 42%（Patchstack 年度資安報告的統計）。這個數字聽起來嚇人，但真正該在意的重點不是「WordPress 不安全」，而是這些漏洞絕大多數藏在你自己選的外掛與佈景主題裡，核心軟體本身反而是整個生態系裡最乾淨的一塊。
如果你正在考慮用 WordPress 架站，大概已經聽過它免費、外掛多、SEO 友善這幾個優點，卻很少有人把 WordPress缺點攤開來講清楚：資安風險怎麼分布、更新機制哪些要自己處理、外掛裝多了效能會怎麼掉、客製化的天花板又落在哪裡。這些不是 WordPress 做得差，而是它「自架」（self-hosted）這個模式本身的代價。你拿到的是完全的所有權與客製自由，換來的是資安、更新、效能、備份這些原本可能由平台代勞的事，現在全部要自己扛。
把這份代價的全貌搞清楚，才知道 WordPress 適不適合你打算做的這個網站。
自架網站的自由，維運責任要自己扛
WordPress 其實是兩個不同的產品。WordPress.org 是可以免費下載、自己找主機安裝的開源軟體，也就是「自架」（self-hosted）版本；WordPress.com 則是由 Automattic 公司經營的代管（hosted）服務，把主機、備份、更新都包進訂閱費裡賣給你。這兩者常被混著講，但差異不只是價格。自架版把「所有權」跟「維運責任」綁在一起，你要的是完全的控制權：程式碼、資料庫、伺服器設定通通歸自己管，代價就是沒有一家公司幫你把資安、更新、效能、備份打包扛起來。這份責任分工，正是後面每一項缺點的共同根源。
具體來說，WordPress.org 的環境需求頁面寫得很清楚：建議主機至少要支援 PHP 8.3 以上，資料庫要 MariaDB 10.11 以上或 MySQL 8.0 以上，還要有 HTTPS 支援。這些條件都要靠你自己找主機商確認，WordPress 軟體本身完全不附帶主機空間或資料庫服務。跟 Wix、Shopify 這類全代管 SaaS 建站平台比，兩者其實只是責任分工方式不同，SaaS 平台把主機、更新、資安都打包進月費，換來的是省心；WordPress 自架把這些責任留給你，換來的是不受平台限制的自由度與資料所有權。這不是 WordPress 比較差，而是兩條路線在做不同的取捨，一邊拿所有權換維運責任，一邊拿省心換客製彈性受限。
資安漏洞多半藏在外掛與佈景主題裡
這份維運責任，最先浮上檯面的通常是資安風險。WordPress 核心程式碼本身相對乾淨，真正的資安風險幾乎都藏在外掛與佈景主題裡。原因不難理解。WordPress 外掛目錄對所有開發者開放，任何人都能寫一支外掛送審上架。WordPress.org 的審查會看資安、相容性與是否符合上架規範，但審的是第一次送審的版本；通過之後，開發者每次把新版程式碼推上去就直接上線，不會再逐版審查。這也是 WordPress 生態系開放、免費、擴充性強的另一面，大量第三方程式碼品質參差不齊，某些外掛可能是個人開發者兼職維護，更新頻率低，甚至久了就沒人管。
很多人以為「這支外掛安裝數很高、大家都在用」就代表比較安全，實際上剛好相反。安裝數愈高，代表攻擊者鎖定同一套程式碼就能一次打中愈多網站，熱門外掛反而是更值得被盯上的目標。漏洞一旦被公開，潛在受害的網站基數本來就大。付費、進階版外掛的情況也不像直覺想的那樣安全，因為原始碼公開程度低，受到外部安全研究者檢視與回報的機會反而比開源的免費外掛少，問題可能藏得更久才被發現。
Patchstack 是專門追蹤 WordPress 漏洞情報的資安公司，長期與 GoDaddy、Hostinger、DigitalOcean、Cloudways 等主機商合作。他們在《State of WordPress Security in 2026》報告裡統計了 2025 年整年的數字：WordPress 生態系共發現 11,334 個新漏洞，比 2024 年成長 42%（前一年的同系列報告統計 2024 年為 7,966 個）；其中 91%的漏洞出在外掛、9%出在佈景主題，WordPress 核心本身只通報 6 個漏洞，而且都被列為低風險。
這些漏洞裡，4,124 個（占 36%）被判定構成實際威脅、需要主動防護規則因應；1,966 個（占 17%）屬於高風險，可能被大規模自動化攻擊利用。換句話說，核心軟體幾乎不是問題，問題全部發生在你自己選的外掛與佈景主題上。
付費與進階版外掛的漏洞問題，同樣不能輕忽。Patchstack 針對 Envato 這類付費外掛/佈景主題市集做過專項研究，2025 年整年收到 1,983 筆針對付費或免費增值（freemium）元件的有效漏洞通報，占全部通報數的 29%，付費元件的漏洞有 76%被判定具有可被實際攻擊利用的優先等級。付費元件的「已知遭利用漏洞」（Known Exploited Vulnerabilities，KEV）數量，是免費元件的 3 倍；Patchstack 自己的 Zero Day 抓漏計畫在付費元件裡找到 33 個高危漏洞，免費元件同期只有 12 個。這組數字打破了「貴的、付費的一定比較安全」這個直覺。原始碼公開程度低，反而讓外部安全研究者難以介入檢視，漏洞可能悄悄存在得更久。
這件事對誰的影響比較大，答案不難判斷。外掛裝得多、其中夾雜著冷門、免費又長期沒更新的外掛，或是為了功能而裝了昂貴的進階付費外掛，風險自然疊加。反過來，外掛數量控制在精簡範圍、只選有信譽而且勤更新的外掛，核心與外掛都保持在最新版本，能擋掉的風險就多出一大截。這也是為什麼「外掛裝越多功能越強」這個直覺，在資安角度上反而要打一個問號。
核心至少會自動更新，外掛與佈景主題要自己更新
知道資安風險藏在外掛與佈景主題裡是一回事，實際去因應更新又是另一回事，而這正是最常被忽略的地方。WordPress 核心與外掛/佈景主題，在自動更新這件事上待遇並不一樣，不少人誤以為裝好 WordPress 就沒事了，但這個假設只對了一半。
WordPress 核心從 5.6 版開始，全新安裝的站台預設連小版本與大版本更新都會自動套用（除非偵測到版本控制環境），不用管理者動手；但既有站台、或從舊版本升級上來的站台，仍維持原本的行為——只有小版本更新（包括安全性修補與翻譯檔）預設自動套用，大版本更新要透過WP_AUTO_UPDATE_CORE這個設定值或後台選項，由管理者自己決定要不要開啟。換句話說，核心的安全性修補這一塊，不管新舊站台大致上都有涵蓋到，但既有站台要不要跟進大版本，主動權還是在你手上；只有全新安裝的站台，才連大版本都預設自動跟上。
外掛與佈景主題就沒有這層保障了。每一支外掛、每一款佈景主題，預設都不會自動更新，要嘛你逐一到後台把自動更新選項打開，要嘛就得自己記得定期回來手動更新。就算某個外掛的開發者已經發布修補程式，也不代表全部安裝這支外掛的人都會馬上動手更新，這中間的時間差，正是攻擊者最喜歡利用的空檔。
這個時間差有多危險，Patchstack 的 2026 白皮書給了具體數字：約一半的高衝擊漏洞在公開後 24 小時內就遭到利用；若依實際觀測到的攻擊強度加權，遭攻擊最密集的那批漏洞從公開到首次被利用的中位數只要 5 小時。更麻煩的是，46%的漏洞在公開揭露的當下，開發者其實都還沒完成修補，也就是說「等外掛更新」這件事，本身就不是萬全的防線，主動關掉自動更新、又疏於手動維護，等於把攻擊者需要的時間差親手留給對方。
影響程度同樣看維運習慣。關掉自動更新、又沒有人定期登入後台檢查，或是用了很久沒人維護的外掛，風險會直接反映在被鎖定的機率上。相反地，把核心與外掛的自動更新選項打開，或是交給有代辦更新服務的主機商，這個缺點對你的實際影響就會小很多。
外掛裝得越多，效能與相容性風險越高
更新有沒有跟上是一回事，外掛裝多了之後的效能負擔，則是另一個常被低估的成本。外掛拖慢網站不是空泛的說法，背後有具體的技術原因。每一支外掛本質上都是一段被載入到你網站裡的第三方程式碼，裝得越多，瀏覽器要發出的網路請求、要解析與執行的 JavaScript 與 CSS 就跟著疊加。更麻煩的是，不同外掛出自不同開發者之手，彼此互不知情，可能同時掛在同一個系統掛鉤（hook）上搶著執行，或各自載入相似甚至重複的函式庫，不只拖慢速度，還可能互相干擾，讓網站出現排版跑掉、功能失效這類難以排查的問題。這其實不是機率問題，而是架構問題，沒有一個人在背後替所有外掛把關整體相容性，出不出事全看運氣。
Google 的 web.dev 文件，把第三方程式碼（外掛本質上就屬於這一類）拖慢網站的具體管道列得很清楚，其中幾項包括：向多個伺服器發出過多網路請求、傳送過多 JavaScript 讓瀏覽器主執行緒持續忙碌並延遲使用者互動、缺乏足夠的 HTTP 快取與伺服器壓縮、封鎖畫面顯示直到程式碼處理完畢，以及多個第三方項目重複載入相同的框架與函式庫、浪費資源。這幾個管道加在一起，就是外掛越裝越多之後，網站反應速度變慢、互動變得卡頓的真正原因。
要判斷網站有多慢，不用只憑感覺，Google 的網站使用體驗核心指標（Core Web Vitals）給了具體門檻可以對照：最大內容繪製（LCP）建議在 2.5 秒內完成、與下一個繪製的互動（INP）建議在 200 毫秒以內、累計版面配置位移（CLS）建議維持在 0.1 以下。外掛裝得越多、疊床架屋的功能越多，這三項指標就越容易超標，而且往往不是單一支外掛的問題，是所有外掛加總起來的結果，排查起來也比較費工。
這個缺點的嚴重程度，跟外掛數量、主機規格與有沒有做效能優化直接相關。功能疊床架屋、外掛數量多，主機又只是普通規格、沒有快取機制，效能問題會很明顯；反過來，外掛數量控制精簡、主機規格與快取機制到位，並且盡量選用同一套生態系（例如同一家佈景主題廠商推出的搭配外掛）組合使用以降低衝突機率，這個缺點對實際使用體驗的影響就會小很多。
主機、備份與資料保護不再有人代勞
效能與相容性之外，另一塊經常被低估的維運責任，是主機與備份。「自架」這兩個字的字面意義，這裡最直接看得到。WordPress 軟體本身不含主機空間、不含自動異地備份，這些通通要架站者自己張羅，或是另外付費委外。跟 SaaS 建站平台主機、備份、SSL 憑證、上線監控全部包在月費裡的模式相比，自架 WordPress 把這幾件事都留給你自己決定要不要做，不是 WordPress 特別麻煩，而是這本來就是自架模式必然要接手的工作。
WordPress.org 環境需求頁面列出的建議規格，包括 PHP 8.3 以上、MariaDB 10.11 以上或 MySQL 8.0 以上、HTTPS 支援，這些都要透過主機商去滿足，而且頁面上也特別提醒，如果環境停留在已經過了支援期限（End Of Life）的舊版 PHP 或 MySQL，會讓網站暴露在已知的安全風險之中。換句話說，連主機環境本身有沒有過期這件事，都要架站者自己留意，不會有系統跳出來提醒你。
備份、還原、災難復原同樣預設不包含在 WordPress 核心軟體裡，需要另外安裝外掛，或另外選擇有提供備份服務的主機商方案。市面上確實有「代管型 WordPress 主機」這個選項，由主機商代辦更新、備份、資安監控，能把部分維運責任轉嫁出去，但這仍然是一筆額外的成本，不是 WordPress 內建的功能。
這個缺點對誰的影響比較大，看的是有沒有人力與制度去接手這份責任。沒有 IT 資源、沒設定自動備份機制、又用了便宜且缺乏保護機制主機的個人或小型網站主，一旦出事很可能求助無門；相對地，委外給代管型 WordPress 主機，或站內固定有人負責維運，這件事對日常經營的影響就相對有限。
後台好上手，深度客製終究要碰程式碼
維運責任談完，換個角度看 WordPress 好不好上手，其實要分成兩層來看才公平：一層是日常內容維護，對非技術背景的人相對友善；另一層是深度客製化，終究得碰到程式碼。很多討論 WordPress 優缺點的文章，把這兩層混在一起談，結果不是誇大了學習門檻，就是把客製的天花板講得太輕鬆。
一般操作對非技術者相對友善
WordPress 內建的區塊編輯器（Gutenberg），讓寫文章、排版、插入圖片這些日常操作，不需要碰到任何一行程式碼。標題、段落、圖片、影片、表格都是獨立的區塊，拖曳、複製、調整順序都靠滑鼠點擊完成，多數人在看過教學或自己摸索一陣子之後，都能上手日常的內容維護工作，不需要工程背景。
這一點值得如實講清楚，不誇大 WordPress 的學習門檻。如果你的需求只是定期發布文章、更新頁面內容、換幾張圖片，現成的後台介面已經能滿足大部分需求，不需要額外找人幫忙。真正的門檻，出現在你想要的東西超出這個範圍之後。
超出主題與外掛範圍，就得懂程式
問題出在邊界之外。當你的需求超出佈景主題設定選項與外掛功能所能提供的範圍，例如需要特殊的資料結構、要跟公司內部系統對接、或是版面邏輯不是典型的部落格或形象網站排法，這時候就得動用 PHP、WordPress 的鉤子（hook）與篩選器（filter）架構、資料庫查詢這些開發知識，或是花錢請專業工程師客製佈景主題與外掛。
WordPress 常被說成開放原始碼、可以無限客製，這句話沒有錯，但無限客製的入場券是程式能力或預算，兩者缺一都很難把想法真的做出來。把「用起來簡單」跟「客製起來簡單」混為一談，是很多人低估 WordPress 學習曲線的地方。後台操作好不好上手，跟開發客製難不難，根本是兩件事。
舊外掛、佈景主題不見得跟上區塊編輯器腳步
客製化要碰程式碼是一回事，即使不談深度客製，光是外掛與佈景主題彼此之間，相容性也可能出問題。區塊編輯器（Gutenberg，現在延伸成完整網站編輯 Full Site Editing）已經是 WordPress 多年來的預設編輯環境，但市面上仍有大量佈景主題與外掛，是為舊版的經典（Classic）編輯器設計的架構。這兩套系統的相容方式是二選一，不是無縫接軌。採用「區塊主題」的網站沒辦法改回經典編輯器，依賴經典編輯畫面的外掛功能就可能派不上用場；反過來，用經典架構的佈景主題也用不了完整網站編輯的新功能。
這不代表 WordPress 沒做好轉換，而是它背後橫跨的是數百萬個既有網站，新技術要全面汰換這麼龐大的舊有站台，本來就需要很長的時間，不可能一夕之間全部升級。實際的證據是，WordPress.org 自己就在維護一款叫「Classic Editor」的外掛，由 WordPress 核心貢獻者負責開發，用來還原舊版的編輯畫面，讓依賴舊編輯器的外掛與功能可以繼續運作。這款外掛的說明文件講得很直接，區塊主題因為架構本身依賴區塊，沒辦法使用經典編輯器，這是技術上的限制，不是設定沒調好的問題。而且這款外掛到現在都還持續在更新，不是被放著不管的過時工具，證明市場對經典編輯體驗的需求真實存在，而且規模不小。
選佈景主題或外掛之前，要先確認它是「區塊主題╱相容區塊編輯器」還是「經典架構」，兩者混著用很容易踩到不相容的地雷。沿用很舊的佈景主題，或依賴某個只支援經典編輯器的外掛，又想升級到新版的視覺化編輯功能，這個缺點的影響會很明顯；反過來，一開始就選用支援區塊化架構的新版佈景主題與外掛，這個問題基本上不會發生。
維運意願、客製深度決定 WordPress 適不適合
把前面六項 WordPress缺點攤開來看，其實都指向同一個源頭。WordPress 的缺點幾乎都是「自架」這個模式本身帶來的，所有權跟維運責任綁在一起，想要前者就得接受後者。所以真正該問自己的問題，不是 WordPress 好不好，而是你有沒有能力、意願、預算去承擔這份維運責任，換取客製自由與資料所有權。
需要深度客製和長期經營的網站，WordPress 合適
如果你打算長期經營一個網站，內容量會持續累積，未來還會不斷擴充功能，而且希望完全掌握自己的資料與程式碼所有權，WordPress 的取捨通常划算。這類情境常見於部落格、媒體站、需要深度客製的電商，或本身就有內部技術資源（自己養工程師，或固定配合的委外團隊）的組織。他們有能力真正用到 WordPress 開放生態系帶來的彈性，前面列的那些維運責任，對他們來說不是額外負擔，而是本來就會投入的日常工作。
長期來看，自架網站對大型、經營時間長、功能複雜的網站，通常比受限的 SaaS 訂閱模式更划算，因為不會被平台的功能上限或費率結構綁住，資料與程式碼也完全掌握在自己手上，之後要換主機、換開發商都不受限制。這是自架相對於封閉式 SaaS 平台最主要的一項優勢，也剛好呼應前面談到的所有權這個核心框架。
想快速上線、不想碰維運，SaaS 平台更省事
反過來，如果你只需要一個簡單、專業的網站，沒有內部技術資源，也不打算長期投入維運心力，全代管的 SaaS 建站平台（例如 Wix、Shopify 這類國際通用平台，這裡只當作類別示意，不做產品優劣比較）通常更省事。這類平台把主機、備份、資安更新、SSL 都包進訂閱費裡，換來的代價是客製彈性受限、資料可攜性較低，而且訂閱費用會隨著時間持續累積。
判斷的依據不是網站規模大小，而是有沒有維運意願與能力。規模小的網站如果有人願意投入維運，一樣適合用 WordPress；反過來，預算再大的網站，如果沒有人管更新與備份，一樣會踩到前面列的那些缺點。這組取捨，其實就是前面六項缺點的縮影，願意扛維運責任，換來的是自由與所有權；不想扛，就該把這份責任交給願意打包代管的平台。
WordPress缺點多半跟維運責任綁在一起。選主機、選外掛、決定要不要委外維運，這些選擇沒有標準答案，唯一該先想清楚的是自己願意投入多少心力在這件事上面。WordPress 把自由度做得很開放，但這份自由從來不是沒有成本的，誰扛下維運責任，誰就拿到相對應的掌控權。