WordPress 7.1.1 è disponibile dal 17 settembre 2026. Si tratta di una release combinata di manutenzione e sicurezza, che raccoglie 11 correzioni di sicurezza, 17 fix sul Core e 19 sul block editor (Gutenberg).
Trattandosi di un rilascio di sicurezza, l’indicazione è di aggiornare i siti il prima possibile. Non è un update opzionale da rimandare al weekend.
Come aggiornare a WordPress 7.1.1
Hai tre strade, in ordine di semplicità:
- Dalla bacheca di WordPress, apri Aggiornamenti e clicca su Aggiorna ora.
- Scarica il pacchetto direttamente da WordPress.org e installalo manualmente.
- Se il sito ha gli aggiornamenti automatici in background attivi, non devi fare nulla: l’update parte da solo.
Per chi gestisce molti siti, l’opzione degli aggiornamenti automatici resta il modo più affidabile per non restare scoperti sulle patch di sicurezza.
Quando arriva la prossima versione
La 7.1.1 è una release a ciclo breve, quindi contenuta e mirata. Il prossimo rilascio maggiore sarà WordPress 7.2, al momento previsto per dicembre. La documentazione completa è disponibile sull’HelpHub dedicato alla versione 7.1.1.
Le correzioni di sicurezza incluse
Questa release chiude 11 vulnerabilità. In sintesi, cosa è stato risolto:
- XSS memorizzato in
wpautop(): un visitatore non autenticato poteva iniettare script (previa approvazione del commento). Segnalato da Rafie Muhammad (Awesome Motive). - HTML API –
set_modifiable_text(): era possibile “uscire” da un commento tramite sequenze di chiusura anomale. Segnalato da Jeremy Felt (WordPress Security Team). - XSS memorizzato in alcuni temi che supportano header personalizzati. Segnalato da Jeremy Felt.
- URL manipolati potevano installare e mostrare in anteprima un tema non attivo preso da WordPress.org. Segnalato da Paulos Yibelo e pwn.ai.
- Attivazione di rete impropria: un amministratore di sito poteva attivare a livello di rete un plugin pensato come “solo network”. Segnalato da Jesse McNeil.
- Path Traversal autenticato nel controller REST dei Template. Segnalato da Anthropic.
- XML-RPC: si potevano pubblicare post
customize_changesetaggirando i controlli suedit_css. Segnalato da Ben Bidner (WordPress Security Team). - Sovrascrittura arbitraria di post con ruolo Contributor o superiore. Segnalato da Anthropic.
- Controllo
read_postmancante inattachment_submitbox_metadata(): veniva esposto il titolo di un post genitore privato. Segnalato da HDWSec. - Autorizzazione mancante: divulgazione dello slug di bozze/post in attesa da parte di Contributor o superiore. Segnalato da hermanhms.
- Ricollocazione di commenti e note possibile da qualsiasi utente autenticato. Segnalato da viridis.
Il team di sicurezza ringrazia chi ha segnalato queste vulnerabilità in modo responsabile, permettendo di correggerle prima del rilascio.
Chi ha reso possibile questa versione
La release è stata guidata da Adam Silverstein, Adrian Duffell, Andrei Draganescu e Aaron Jorbin.
Dietro alla 7.1.1 c’è però il lavoro coordinato di oltre novanta contributori, insieme ai rappresentanti di Automattic, Bluehost, GoDaddy, Pantheon e WP Engine. È il tipo di coordinamento asincrono che tiene in piedi un progetto open source di questa scala: fix di manutenzione e sicurezza fatti confluire in una release stabile senza un ufficio centrale che dà gli ordini.
Backport sulle versioni precedenti
Per cortesia verso chi non ha ancora aggiornato al ramo principale, le correzioni di sicurezza vengono riportate (backport) su tutte le versioni idonee, attualmente fino alla 4.7. Un promemoria importante: solo l’ultima versione di WordPress è ufficialmente supportata. I backport arrivano progressivamente, man mano che sono pronti.
Come contribuire a WordPress
Se vuoi partecipare allo sviluppo del Core, il punto di partenza è Trac: scegli un ticket e unisciti alla discussione nel canale #core su Slack. Per orientarti c’è il Core Contributor Handbook.
tratto da https://wordpress.org/news/2026/09/wordpress-7-1-1-maintenance-and-security-release/