O WordPress 7.1.1 está previsto no cronograma oficial do projeto para quinta-feira, 17 de setembro de 2026, às 15h UTC. A atualização foi planejada como uma versão de manutenção, mas os registros técnicos também apontam melhorias de segurança no núcleo do sistema.
WordPress 7.1.1 ainda tinha status de lançamento em acompanhamento
Até a consulta realizada, o arquivo oficial de versões listava o WordPress 7.1, lançado em 19 de agosto de 2026, como a versão estável mais recente. Enquanto isso, o WordPress 7.1.1 aparecia na área de testes como 7.1.1-RC1, disponibilizado em 10 de setembro. A situação poderia indicar defasagem na atualização da página oficial ou que a liberação final ainda não havia sido refletida no arquivo.
Os responsáveis pelo núcleo classificaram o WordPress 7.1.1 como uma atualização “bug-fix only maintenance release”, isto é, voltada exclusivamente à correção de erros. O escopo reúne problemas introduzidos durante o ciclo do WordPress 7.1 e ajustes que haviam sido adiados, sem previsão de novos recursos de grande porte.
O desenvolvimento ficou sob responsabilidade de Adam Silverstein, Adrian Duffell e Andra Ganescu. Já a versão candidata foi indicada apenas para ambientes de teste, e não para sites em produção ou operações críticas. Conforme o Planet WordPress, o planejamento incluía 16 tickets do núcleo e 22 pull requests do Gutenberg, embora essa contagem não tenha sido confirmada como balanço final da versão estável.
WordPress 7.1.1 inclui mudanças relevantes de segurança
Um changeset oficial publicado em 17 de setembro de 2026 registrou o backport das “correções de segurança do WordPress 7.1.1” para a ramificação 6.6. Dessa forma, os registros do próprio projeto confirmam a presença de melhorias de proteção, ainda que a atualização não tenha sido apresentada, até a consulta, em um boletim separado com CVE próprio.
- Rejeição de ID de postagem fornecido de forma indevida durante a criação de posts;
- Restrição da resolução de arquivos de templates de blocos ao diretório correspondente;
- Verificação de permissões ao atualizar notas pela API REST;
- Bloqueio de gravações via XML-RPC em tipos internos de post;
- Inclusão de autorização em
wp_ajax_sample_permalink(); - Melhoria na sanitização de imagens de cabeçalho no Personalizador;
- Verificação da permissão
read_postno post pai de anexos; - Escape do valor usado na pré-visualização do instalador de temas;
- Exigência de autoridade de administrador da rede para ativar plugins restritos em redes multisite;
- Prevenção de comportamento do
wpautop()que poderia deslocar um parágrafo para dentro de um atributo deblockquote.
Falhas anteriores não devem ser confundidas com o 7.1.1
Não foram encontrados CVEs atribuídos especificamente ao WordPress 7.1.1. O cenário é diferente do WordPress 7.0.2, lançado em 17 de julho de 2026 com as vulnerabilidades CVE-2026-60137, relacionada a injeção de SQL, e CVE-2026-63030, ligada à confusão de rotas em lote da REST API combinada com injeção de SQL e execução remota de código. As correções foram distribuídas para as versões 7.0.2, 6.9.5 e 6.8.6, além das versões beta do 7.1.
Também houve a CVE-2026-65640, classificada como de alta gravidade, com pontuação CVSS 8.8. O problema permitia execução remota de código por meio do upload de um arquivo PostScript malicioso por usuário com nível de autor ou superior, em instalações que utilizassem Imagick e Ghostscript. A falha foi corrigida no WordPress 7.0.4 e retroportada para versões anteriores; a assessoria não apontou o WordPress 7.1 como afetado.
Editor, mídia e administradores exigem atenção
O WordPress 7.1.1 também atualizou pacotes do Gutenberg, com alterações no editor, mídia, listas, galerias, páginas e permissões. Entre os ajustes estão a correção de erro 403 para usuários sem manage_options, a identificação correta de falhas em uploads e a exigência de autenticação e capacidade adequada para renderizar páginas independentes.
Outro ajuste trata do endpoint de finalização de anexos. Agora, o sistema faz nova leitura do post depois da geração dos metadados e retorna erro se o anexo for removido durante o processamento. Três testes unitários foram adicionados para esses cenários.
Por isso, administradores que usam plugins e temas integrados ao editor de blocos, ao sistema de mídia, à API REST, ao XML-RPC, ao Personalizador ou ao gerenciamento de plugins em redes multisite devem testar o WordPress 7.1.1 em uma cópia do site antes da instalação em produção.
