Cele mai importante update-uri WordPress ale lunii

Aprilie 2026 a fost o lună aglomerată pentru ecosistemul WordPress. A venit o versiune majoră de core, un release candidate pentru următoarea versiune importantă, un atac serios în lanțul de aprovizionare al plugin-urilor și sute de vulnerabilități raportate și patch-uite. Dacă administrezi unul sau mai multe site-uri WordPress, iată tot ce trebuie să știi.

WordPress 6.8 Cecil — ce aduce noua versiune

Lansată pe 15 aprilie 2026, WordPress 6.8 „Cecil" este cea mai recentă versiune stabilă de core. Actualizarea include patch-uri pentru 3 vulnerabilități critice, 8 probleme de severitate ridicată și 4 bug-uri de risc mediu. Dacă nu ai actualizat deja, fă-o imediat.

Pe lângă corecțiile de securitate, 6.8 aduce suport nativ pentru Speculation Rules API. WordPress inserează automat un tag <script type="speculationrules"> care instruiește browserul să prefetcheze sau să prerandeze link-urile interne. Rezultatul: navigația pe site pare instantanee pentru vizitatori, fără nicio configurație suplimentară. Funcția e opt-in și controlabilă prin filtrul wp_speculation_rules.

WordPress 7.0 — Release Candidate 2 disponibil pentru testare

Versiunea 7.0 se află acum în faza Release Candidate 2, disponibilă prin Beta Tester plugin, WP-CLI sau WordPress Playground. Nu instala pe site-uri de producție — testează exclusiv în medii de staging sau locale.

Real-Time Collaboration — funcția vedetă cu o problemă de arhitectură

Funcția principală a WordPress 7.0 este Real-Time Collaboration (RTC), care permite mai multor utilizatori să editeze simultan același articol din Block Editor. Implementarea folosește Yjs ca engine CRDT, cu sincronizare prin HTTP polling — mai compatibil cu hosting-ul standard decât WebRTC.

Problema: arhitectura actuală stochează datele de sincronizare în post_meta, ceea ce dezactivează cache-urile WordPress de interogare ori de câte ori un utilizator are editorul deschis. Echipa core lucrează la o soluție care implică un tabel dedicat de bază de date — o modificare suficient de serioasă încât să fi împins ciclul de release din Beta înapoi la RC, un lucru fără precedent în istoria WordPress.

WP AI Client și Connectors API

WordPress 7.0 introduce WP AI Client, o bibliotecă PHP core care oferă un strat de abstractizare unificat pentru comunicarea cu servicii AI. În loc ca fiecare plugin să se integreze separat cu OpenAI, Anthropic sau Google, WP AI Client standardizează apelurile — schimbarea furnizorului devine o modificare de configurație, nu de cod.

Complementar, Connectors API stabilește stocarea credențialelor și selecția furnizorului la nivel de infrastructură. Un nou ecran din admin le permite proprietarilor de site-uri să configureze furnizorii AI preferați. Plugin-uri oficiale pentru OpenAI, Google și Anthropic sunt deja în Plugin Directory, iar comunitatea a publicat deja provideri pentru OpenRouter, Ollama și Mistral.

PHP 7.2 și 7.3 nu mai sunt suportate

WordPress 7.0 abandonează suportul pentru PHP 7.2 și 7.3. Versiunea minimă devine PHP 7.4, cu PHP 8.2+ recomandat. Dacă administrezi site-uri care rulează PHP vechi, acesta e primul action item înainte ca update-ul să aterizeze.

Atacul în lanțul de aprovizionare — ce s-a întâmplat

La începutul lunii aprilie, ecosistemul WordPress a fost lovit de un supply chain attack de amploare: actori malițioși au compromis conturi de dezvoltatori și au împins actualizări care conțineau backdoor-uri ascunse în zeci de plugin-uri legitime, inclusiv plugin-uri ale dezvoltatorului „essentialplugin" și „WP Advanced Math Captcha".

Echipa WordPress.org a răspuns rapid, forțând o actualizare automată care a eliminat codul malițios din plugin-uri. Problema: actualizarea automată nu curăță backdoor-urile deja instalate pe server. Dacă site-ul tău rula unul dintre plugin-urile afectate, atacatorii au putut deja executa payload-uri și instala fișiere de control la distanță.

Dacă ai primit în dashboard avertismentul „Important Notice from the WordPress.org Plugins Team", trebuie să faci manual: scanare completă cu Wordfence la sensibilitate ridicată (inclusiv fișiere din afara instalației WordPress), ștergerea oricăror conturi de administrator necunoscute și schimbarea parolei bazei de date cu actualizarea wp-config.php.

Raportul de vulnerabilități — cifrele lunii

Conform rapoartelor săptămânale SolidWP și Patchstack, aprilie 2026 a adus câteva sute de vulnerabilități raportate în plugin-uri și teme. Câteva care necesită atenție imediată:

CVE-2026-0012 — Ultimate Member plugin (versiunile 2.8.0–2.8.2) — bypass de autentificare critic, cu peste 200.000 de site-uri afectate. Actualizează la versiunea 2.8.3 imediat.

Jetpack 13.9.1 — patch pentru o vulnerabilitate stored XSS care permitea utilizatorilor cu rol de subscriber să injecteze scripturi malițioase.

WooCommerce 8.5.2 — corecție critică pentru un SQL injection în orders API. Obligatoriu dacă rulezi un magazin online.

Un val de atacuri brute force a vizat în special xmlrpc.php — dacă nu folosești XML-RPC, dezactivează-l printr-o regulă în .htaccess sau dintr-un plugin de securitate.

Tendința lunii: adopția 2FA a depășit 60%

Conform datelor recente, 2FA a ajuns la 60% adopție pe site-urile WordPress, față de 15% în 2024. Factorii principali: plugin-uri de 2FA mai ușor de configurat, cerințe din polițele de asigurare cibernetică și o mai bună înțelegere a riscurilor. Dacă nu ai activat 2FA pe conturile de administrator ale site-urilor tale, acesta e momentul potrivit.

Ce trebuie să faci acum

1. Actualizează WordPress core la 6.8 dacă nu ai făcut-o deja.

2. Actualizează toate plugin-urile și temele — cu precădere Ultimate Member, Jetpack și WooCommerce.

3. Verifică dacă ai fost afectat de supply chain attack — caută conturi de admin necunoscute și fă o scanare completă cu Wordfence.

4. Dezactivează XML-RPC dacă nu îl folosești activ.

5. Testează WordPress 7.0 RC2 pe staging — mai ales dacă ai plugin-uri sau teme custom care interacționează cu Block Editor sau PHP metadata.

Concluzie

Aprilie 2026 a adus o versiune stabilă solidă în WordPress 6.8, dar și un reminder dur că securitatea ecosistemului rămâne vulnerabilă prin lanțul de aprovizionare al plugin-urilor. Actualizările la timp, 2FA pe toate conturile admin și monitorizarea activă a vulnerabilităților nu mai sunt opționale — sunt parte din rutina oricărui administrator WordPress responsabil.

Slug: update-uri-wordpress-aprilie-2026 Categorie principală: Noutăți Categorii: Web, Mentenanță, Noutăți Rezumat SEO: WordPress 6.8 Cecil, WordPress 7.0 în RC, un atac major în lanțul de aprovizionare și sute de vulnerabilități în plugin-uri — iată tot ce s-a întâmplat în ecosistemul WordPress în aprilie 2026.

Surse: WordPress Developer Blog, SolidWP Vulnerability Report, DesignsTouch, Patchstack