Quem mantém um site profissional em WordPress ganhou uma tarefa que não deveria ficar para depois: o WordPress 7.1.1 foi lançado com 11 correções de segurança, além de ajustes no Core e no editor de blocos, e a própria equipe da plataforma recomenda que os sites sejam atualizados imediatamente.
A versão chegou em 17 de setembro de 2026 e corrige problemas que vão de exposição indevida de informações até falhas capazes de permitir alterações que um usuário não deveria conseguir executar. Em instalações compatíveis com atualizações automáticas em segundo plano, o processo pode começar sem intervenção manual.
Resumo
- O WordPress 7.1.1 traz 11 correções de segurança e 17 correções no Core.
- A equipe do WordPress recomenda atualizar os sites imediatamente.
- As falhas envolvem XSS, autorização, exposição de informações e outras áreas da plataforma.
- Correções de segurança também estão sendo levadas a versões antigas ainda cobertas pelo projeto.
O que o WordPress 7.1.1 corrige?
A lista publicada pela equipe do WordPress reúne 11 problemas de segurança diferentes. Entre eles está uma vulnerabilidade de cross-site scripting armazenado em wpautop(), que poderia permitir a injeção de script por um visitante não autenticado, embora sujeita à aprovação do comentário.
Também foram corrigidos problemas relacionados à API de HTML, cabeçalhos personalizados de determinados temas, instalação e visualização de temas por URLs especialmente construídas, XML-RPC, controle de autorização e acesso a informações de posts.
Segundo o comunicado oficial do WordPress, duas das correções foram reportadas pela Anthropic. Uma delas envolve traversal de caminho autenticado no controlador de modelos da API REST. A outra permitia sobrescrita arbitrária de posts por usuários com função de colaborador ou superior.
| Tipo de problema | Exemplo corrigido no WordPress 7.1.1 | Possível consequência |
|---|---|---|
| XSS armazenado | Injeção de script em determinadas condições | Execução de conteúdo malicioso no navegador |
| Autorização | Ações disponíveis a usuários sem a permissão adequada | Alterações ou acesso indevidos |
| Exposição de dados | Títulos e slugs de conteúdo não público | Divulgação de informações que deveriam permanecer restritas |
| Traversal de caminho | Problema no controlador de modelos da API REST | Acesso inadequado a caminhos ou recursos |
Por que a recomendação é atualizar imediatamente?
Porque uma atualização de segurança não funciona como uma novidade visual que pode esperar até a próxima reformulação. A versão existe justamente para fechar comportamentos que já foram identificados e documentados.
Isso não significa atualizar um site crítico sem qualquer cuidado. Uma boa auditoria WordPress considera versão do Core, plugins, temas, backups, hospedagem e compatibilidades. Em projetos mais complexos, um ambiente de staging continua sendo uma proteção útil antes de alterar a produção.
Quando expliquei o WordPress anos atrás, uma das vantagens que destaquei era justamente a autonomia que um CMS oferece para administrar conteúdo sem depender de programação para cada mudança. Essa facilidade não elimina a manutenção. Ela torna ainda mais necessário saber quem está cuidando do ambiente por trás do conteúdo.
Isso vale tanto para um projeto recém-criado quanto para quem mantém um site em WordPress há vários anos e acumulou plugins, personalizações e integrações.
Versões antigas também estão recebendo correções
A equipe do WordPress informou que os ajustes de segurança estão sendo retroportados, quando necessário, para branches que ainda recebem esse tipo de suporte, atualmente até a versão 4.7.
O arquivo oficial de releases já mostra novas versões publicadas em 17 de setembro para diferentes branches, como 7.0.5, 6.9.8, 6.0.15, 5.9.17 e 4.7.36.
Isso não significa que permanecer indefinidamente numa versão antiga seja a melhor estratégia. O próprio WordPress lembra que somente a versão mais recente recebe suporte ativo completo.
Uma instalação antiga pode acumular problemas de compatibilidade, desempenho e segurança que vão além de uma correção isolada. Por isso, uma auditoria de site precisa olhar o contexto inteiro, e não apenas perguntar se o WordPress está funcionando hoje.
Confira também estes conteúdos relacionados:
- Entenda como o WordPress passou a revisar atualizações de plugins com inteligência artificial.
- Veja as falhas críticas encontradas recentemente no plugin The Events Calendar.
- Saiba o que avaliar na infraestrutura e hospedagem de um site.
Atualizar o Core resolve toda a segurança do site?
Não. O WordPress 7.1.1 corrige vulnerabilidades conhecidas no Core, mas um site também depende de plugins, tema, servidor, credenciais, banco de dados e configurações próprias.
Nos últimos dias, por exemplo, o ecossistema recebeu tanto uma nova revisão automatizada de plugins quanto alertas sobre vulnerabilidades em extensões populares. O ponto em comum é simples: segurança é processo, não evento.
A infraestrutura de hospedagem também interfere nessa proteção por meio de backups, isolamento, versões de software, recursos de restauração e monitoramento.
Eu já defendi que o site não pode ser tratado como peça secundária enquanto SEO e mídia recebem toda a atenção. Se ele é o lugar onde o potencial cliente pesquisa, confia e converte, mantê-lo seguro faz parte do resultado de marketing, não apenas da área técnica.
Segurança também protege SEO e aquisição
Um site comprometido pode gerar páginas indevidas, alterações de conteúdo, indisponibilidade e outros efeitos que chegam à experiência do usuário e à presença orgânica. Dependendo do incidente, até processos de indexação no Google podem ser afetados por URLs ou conteúdos que nunca deveriam existir.
Isso explica por que manutenção técnica precisa conversar com SEO, conteúdo e conversão. Não adianta trabalhar conteúdo para o site e aquisição se a infraestrutura que recebe esse público fica vulnerável por falta de atualização.
WordPress 7.1.1 deve entrar na rotina de atualização agora
O WordPress 7.1.1 não é apenas mais uma versão incremental. Ele fecha 11 problemas de segurança identificados no Core e vem acompanhado de uma recomendação direta do próprio projeto: atualizar imediatamente.
Antes de simplesmente clicar no botão em ambientes complexos, confirme backup e compatibilidade. Depois da atualização, continue acompanhando plugins, temas, hospedagem e saúde técnica. Se você precisa revisar a estrutura completa do seu site, fale com a Agência Henshin.
Perguntas frequentes (FAQ)
WordPress 7.1.1 é uma versão de manutenção e segurança lançada em 17 de setembro de 2026. Ela reúne correções no Core, no editor de blocos e 11 ajustes específicos de segurança. Como se trata de uma atualização de segurança, o WordPress recomenda instalação imediata.
A versão corrige 11 problemas de segurança documentados pela equipe do WordPress. Eles envolvem diferentes áreas, incluindo XSS armazenado, autorização, API REST, XML-RPC, exposição de informações de posts e ações que usuários não deveriam conseguir executar com determinadas permissões.
A recomendação oficial é sim. Em sites simples e bem mantidos, a atualização pode ocorrer diretamente ou de forma automática. Em ambientes complexos, vale confirmar backup, compatibilidade e possibilidade de restauração antes da mudança, evitando transformar uma correção de segurança em problema operacional.
O WordPress informa que sites compatíveis com atualizações automáticas em segundo plano começarão o processo automaticamente. Ainda assim, administradores devem verificar posteriormente se a versão foi instalada com sucesso e se o projeto continua funcionando normalmente depois da atualização.
Sim. O projeto informou que as correções estão sendo retroportadas, quando necessário, para branches ainda elegíveis a receber updates de segurança, atualmente até a série 4.7. O próprio WordPress ressalta, porém, que somente a versão mais recente recebe suporte ativo completo.
