WordPressi arendajad avaldasid 17. septembril 2026 versiooni 7.1.1, mis sisaldab 11 turvaparandust ning kümneid veaparandusi WordPressi põhiosas ja plokiredaktoris. Kuna tegemist on turva- ja hooldusväljalaskega, soovitatakse veebilehtede haldajatel uuendus võimalikult kiiresti paigaldada.
WordPress 7.1.1 parandab 17 viga WordPress Core’is ja 21 viga plokiredaktoris. Kõige olulisem osa uuendusest on aga 11 turvaprobleemi kõrvaldamine. Nende hulgas on XSS-haavatavusi, õiguste kontrollimisega seotud probleeme, infolekkeid ning vead, mis võimaldasid teatud õigustega kasutajatel muuta sisu, millele neil tavapäraselt ligipääsu olla ei tohiks.
Tegemist on esimese suurema parandusversiooniga pärast augustis ilmunud WordPress 7.1 “Mary Lou’d”, mis tõi sisuhaldussüsteemi muu hulgas responsiivsed stiilid, uue meediaredaktori, täiustatud Notes funktsiooni ning uued Playlist ja Tabs plokid.
Üht XSS-haavatavust sai ära kasutada ka sisse logimata kasutaja
Üks WordPress 7.1.1-ga parandatud probleemidest puudutab wpautop() funktsiooni ning võimaldas salvestatud XSS-rünnet ehk pahatahtliku skripti sisestamist.
Selle turvavea puhul on oluline, et ründaja ei pidanud olema WordPressi sisse logitud. Ründe õnnestumine sõltus siiski kommentaari kinnitamisest. Haavatavusest teatas Rafie Muhammad ettevõttest Awesome Motive.
Teine salvestatud XSS-haavatavus puudutas mõningaid kohandatud päisepilte toetavaid WordPressi teemasid.
Parandus tehti ka WordPressi HTML API-s, kus set_modifiable_text() funktsioon võimaldas spetsiaalselt koostatud sulgemisjärjendite abil HTML-kommentaarist välja murda.
Spetsiaalne URL võis käivitada teema paigaldamise
Üks huvitavamaid turvavigu võimaldas spetsiaalselt koostatud URL-i kaudu automaatselt paigaldada ja eelvaadata WordPress.org-is asuvat, kuid veebilehel veel mitte aktiivset teemat.
Probleemist teatasid Paulos Yibelo ja pwn.ai.
WordPress Multisite’i puhul parandati samal ajal õigustega seotud viga, mille tõttu sai saidi administraator aktiveerida kogu võrgule mõeldud Network-only plugina.
REST API-s parandati Path Traversal turvaviga
WordPress 7.1.1 kõrvaldab ka autentitud kasutaja poolt ärakasutatava Path Traversal tüüpi haavatavuse WP REST Templates Controlleris. Probleemist teatas Anthropic.
Anthropic avastas ka teise turvaprobleemi, mille kaudu vähemalt Contributor ehk kaastöötaja taseme õigustega kasutaja võis teatud tingimustel suvalise postituse üle kirjutada.
Lisaks parandati teine kaastöötaja õigustega kasutajaid puudutav probleem. Selle kaudu oli võimalik saada teada mustandite ja avaldamist ootavate postituste URL-i slug’e, mis ei pidanud kasutajale nähtavad olema.
XML-RPC ja kommentaarid said samuti turvaparandusi
XML-RPC funktsionaalsuses parandati viga, mille kaudu oli võimalik avaldada customize_changeset tüüpi postitusi viisil, mis läks mööda kohandatud CSS-i muutmiseks vajalikust edit_css õiguste kontrollist.
Kommentaaride süsteemis oli aga võimalik igal sisse logitud kasutajal kommentaare, sealhulgas märkmeid, teise sisu alla ümber tõsta. Ka see võimalus suleti WordPress 7.1.1-ga.
Parandati ka infoleke funktsioonis attachment_submitbox_metadata(). Puuduliku read_post õiguse kontrollimise tõttu võis kasutajale avalduda privaatse põhipostituse pealkiri.
Parandati kümneid muid WordPressi vigu
Turvaparanduste kõrval on WordPress 7.1.1 ka hooldusväljalase. WordPress Core’is parandati kokku 17 ning plokiredaktoris 21 viga.
Seetõttu ei puuduta uuendus ainult turvalisust, vaid parandab ka augustis ilmunud WordPress 7.1 kasutamisel avastatud tavapäraseid probleeme.
WordPress 7.1.1 on niinimetatud lühikese arendustsükliga väljalase. Järgmine suurem versioon on WordPress 7.2, mille ilmumine on praeguste plaanide järgi kavandatud 2026. aasta detsembrisse.
Turvaparandused anti välja ka vanematele WordPressi versioonidele
WordPressi turvameeskond ei piirdunud paranduste avaldamisel ainult versiooniga 7.1. Turvaparandused viidi vajaduse korral tagasi vanematesse WordPressi harudesse kuni versioonini 4.7.
Näiteks WordPress 7.0 sai versiooni 7.0.5, WordPress 6.9 versiooni 6.9.8 ja WordPress 6.8 versiooni 6.8.9. Kõik need kolm varasemat haru olid mõjutatud kõigist 11-st WordPress 7.1.1-ga parandatud turvaprobleemist.
Veel vanemate WordPressi versioonide puhul varieerub parandatud haavatavuste arv sõltuvalt sellest, millised probleemid konkreetset versiooni mõjutasid. WordPress 4.7 sai turvaväljalaske 4.7.36, mis parandab kuut haavatavust.
WordPress 4.6 ja sellest vanemad versioonid enam turvauuendusi ei saa.
WordPressi arendajad rõhutavad seejuures, et aktiivselt toetatakse ainult sisuhaldussüsteemi kõige uuemat versiooni. Vanematele harudele turvaparanduste tagasi viimine ei tähenda seega, et nende kasutamist soovitataks jätkata.
WordPress 7.1.1 tasub paigaldada esimesel võimalusel
WordPress 7.1.1 saab paigaldada otse administraatori juhtpaneelist, valides Dashboard → Updates → Update Now. Veebilehtedel, kus WordPressi automaatsed taustauuendused on lubatud, peaks turvaversioon paigalduma automaatselt.
Arvestades, et uuendus kõrvaldab korraga 11 erinevat turvaprobleemi, tasub kontrollida, kas veebileht on juba versioonile 7.1.1 üle läinud. Enne käsitsi uuendamist on mõistlik teha veebilehest ja andmebaasist värske varukoopia ning pärast uuendamist kontrollida kasutatavate pluginate ja kujunduse tavapärast toimimist.
