WordPress 7.1.3 repară șapte vulnerabilități, actualizează site-ul

WordPress 7.1.3 a apărut pe 6 octombrie 2026 și repară șapte vulnerabilități, de la XSS în administrare până la injecție SQL în exportul de conținut. Echipa WordPress recomandă actualizarea imediată. Dacă site-ul tău are actualizări automate active, probabil l-ai primit deja, dar merită să verifici.

Ce s-a întâmplat

Pe 6 octombrie 2026, proiectul WordPress a publicat versiunea 7.1.3, o ediție de întreținere și securitate. Anunțul oficial listează șapte probleme de securitate:

• XSS stocat în pagina de administrare a comentariilor, declanșabil prin comentarii aflate în așteptare;
• o problemă de tip denial of service în metoda WP_Http::make_absolute_url();
• o injecție SQL de ordinul al doilea în exportul WXR;
• utilizatorii cu rol de autor puteau marca articole ca „sticky", ceea ce nu ar fi trebuit să poată;
• dezvăluirea fără autentificare a comentariilor de la articole private sau nepublicate;
• XSS în conținutul încorporat de pe Imgur;
• coliziune de nume de acțiuni, din cauza unor parametri falsificabili transmiși către hook-ul {status}_{type}.

Pe lista celor care au raportat problemele apar Trail of Bits împreună cu OpenAI, Anthropic, Patchstack și membri ai echipei de securitate WordPress. Anunțul nu dă scoruri de severitate și nici numere CVE pentru aceste șapte probleme, așa că nu pot spune cât de gravă e fiecare în parte.

Tot textul oficial spune că remedierile sunt portate și în ramurile mai vechi care primesc încă patch-uri de securitate, „în prezent până la 4.7". Portările se publică pe măsură ce sunt gata. Aceeași pagină reamintește că doar cea mai recentă versiune de WordPress este susținută activ.

Nu e prima actualizare de securitate în ultimele săptămâni

Pe 22 septembrie 2026 a apărut WordPress 7.1.2, cu o singură remediere de securitate: un path traversal fără autentificare în rezolvarea șabloanelor de pagină, care putea duce la execuție de cod de la distanță în anumite condiții. Documentația oficială spune că remedierea a fost portată în ramuri mai vechi, de exemplu 7.0.6 și 6.9.9, și că ramurile 4.6 și mai vechi nu mai primesc nicio actualizare de securitate.

Concluzia practică: dacă un site a rămas pe 7.1.1 sau mai jos, îi lipsesc ambele seturi de remedieri. Un site pe WordPress 4.6 sau mai vechi nu mai primește nicio actualizare de securitate.

Ce înseamnă pentru un site de firmă din România

Majoritatea site-urilor de prezentare sau magazinelor mici din România rulează WordPress, adesea făcute acum câțiva ani de cineva care nu le mai administrează. Câteva dintre problemele din 7.1.3 nu cer ca atacatorul să fie autentificat, de pildă dezvăluirea comentariilor de la articole private. Altele cer un cont cu drepturi mici, cum ar fi rolul de autor, și pe multe site-uri există conturi vechi ale unor colaboratori sau foști angajați.

Riscul real depinde de site. Un blog fără comentarii și fără autori externi e mai puțin expus decât un site cu comentarii deschise și cinci conturi de editori. Nu am găsit în sursele citite informații despre exploatări active ale celor șapte probleme din 7.1.3, așa că nu pot afirma că sunt folosite în atacuri. Oricum, o actualizare minoră de securitate se face de obicei repede și rar strică ceva.

Ce faci concret acum

1. Intră în administrare, la Panou, apoi Actualizări, și verifică ce versiune rulezi. Dacă vezi 7.1.3 (sau echivalentul portat pe ramura ta), ești la zi.
2. Dacă nu, fă o copie de siguranță a fișierelor și a bazei de date înainte. Apoi actualizează din aceeași pagină sau instalează versiunea din arhiva oficială de pe wordpress.org.
3. Verifică după actualizare formularele de contact, comentariile și plata, dacă ai magazin. Pluginurile vechi sunt cele care se strică cel mai des la actualizări.
4. Șterge conturile de utilizator pe care nu le mai folosește nimeni, mai ales pe cele cu rol de autor sau mai sus.
5. Dacă gazda ta oferă actualizări automate, confirmă că sunt active. Anunțul oficial spune că pe site-urile care le suportă procesul pornește singur.

Gazdele pot aplica și protecții proprii. Pantheon, de exemplu, a anunțat un patch virtual la nivel de platformă pentru XSS-ul din comentarii, dar tot cere clienților să actualizeze. Un patch virtual al gazdei nu înlocuiește actualizarea.

Ce nu se știe încă

Anunțul oficial nu detaliază ce versiuni sunt afectate la fiecare dintre cele șapte probleme și nici nu dă numere CVE. Lista portărilor pe ramurile vechi este în curs de publicare, deci o versiune mai veche poate încă să nu aibă patch-ul. Dacă rulezi o ramură veche, verifică pe wordpress.org dacă a apărut versiunea ta corectată, iar dacă nu, planifică un salt la versiunea curentă.

Dacă ai un site WordPress făcut de altcineva și nu știi cine îl mai actualizează, cel mai simplu e să ceri o verificare de versiune și o actualizare controlată. La ClickNest facem asta remote, pentru firme din toată țara.

Surse:

• WordPress 7.1.3 Maintenance and Security Release (wordpress.org)
• Version 7.1.2 (documentația oficială WordPress)
• WordPress 7.1.3 Security Release (Pantheon)