6 октября 2026 года команда WordPress выпустила версию 7.1.3 — обновление безопасности и технического обслуживания. В релиз вошли семь исправлений безопасности и четыре исправления ошибок. Разработчики WordPress рекомендуют установить обновление сразу, поэтому владельцам сайтов не стоит откладывать его до следующего планового обслуживания.
WordPress 7.1.3 — не функциональный релиз с новыми возможностями, а защитное обновление. Его основная задача — закрыть обнаруженные уязвимости и повысить стабильность ядра.
Какие проблемы безопасности исправлены
В официальном сообщении перечислены семь уязвимостей. Часть из них требует определённых прав пользователя или специального сценария эксплуатации, но это не повод оставлять сайт на старой версии: реальный риск зависит от состава плагинов, ролей пользователей, открытых форм и настроек конкретного проекта.
- Сохранённый XSS в управлении комментариями. Вредоносные данные могли попасть на административную страницу через ожидающие проверки комментарии.
- Отказ в обслуживании в WP_Http. Ошибка затрагивала метод
WP_Http::make_absolute_url()и могла использоваться для избыточной нагрузки. - SQL-инъекция второго порядка при экспорте WXR. Опасные данные могли проявиться не в момент ввода, а при последующей обработке экспорта.
- Недостаточная проверка возможностей роли Author. Пользователь с ролью автора мог закреплять записи вопреки ожидаемому разграничению прав.
- Раскрытие комментариев к приватным и неопубликованным записям без авторизации. Исправление закрывает риск доступа к данным, которые не предназначены для публичного просмотра.
- XSS в материалах, встроенных через Imgur. Уязвимость была связана с обработкой внешнего встраиваемого содержимого.
- Конфликт имён действий в динамическом хуке. Подделываемые параметры для хука
{status}_{type}могли привести к нежелательному совпадению имени действия.
Подробности намеренно раскрываются в объёме, достаточном для понимания риска, но без готовых сценариев эксплуатации. Для владельца сайта практический вывод простой: обновить ядро и проверить связанные бизнес-функции.
Кому нужно обновиться
Обновление актуально для всех сайтов на WordPress, а не только для проектов, где используются комментарии или экспорт. Уязвимости относятся к разным подсистемам ядра, а роли пользователей и внешние интеграции нередко настроены сложнее, чем кажется владельцу.
WordPress сообщает, что необходимые исправления безопасности переносятся и в более старые ветки, которые ещё получают защитные обновления, вплоть до версии 4.7. При этом активно поддерживается только самая свежая версия WordPress. Поэтому наличие обратного исправления не следует воспринимать как основание годами оставаться на устаревшем ядре.
Как безопасно установить WordPress 7.1.3
- Проверьте текущую версию. Откройте раздел «Консоль → Обновления» и убедитесь, что речь идёт именно об обновлении ядра, а не только плагинов.
- Создайте резервную копию. Сохраните базу данных и файлы, включая каталог
wp-content, конфигурацию и правила веб-сервера. Копия должна находиться вне обновляемого сервера. - Проверьте восстановление. Если сайт критичен для продаж или заявок, одной отметки «бэкап создан» недостаточно. Убедитесь, что архив скачивается, открывается и может быть развёрнут.
- Сначала обновите тестовую копию. На staging проверьте тему, собственные доработки, плагины, PHP и интеграции. Особенно внимательно протестируйте старые плагины, которые давно не обновлялись.
- Зафиксируйте состояние сайта. Запишите версии ядра и важных расширений, сохраните снимки ключевых страниц и проверьте журнал ошибок до начала работ.
- Установите обновление. Используйте штатный механизм WordPress или управляемое развёртывание. Не закрывайте страницу и не прерывайте процесс во время замены файлов.
- Очистите кэш. Обновите серверный кэш, CDN и объектный кэш, чтобы посетители не получали смесь старых и новых ресурсов.
Что проверить после обновления
Успешное сообщение в административной панели подтверждает завершение операции, но не гарантирует работоспособность всех сценариев. После обновления пройдите короткую проверку:
- главная страница, каталог, поиск и несколько типовых внутренних страниц открываются без ошибок;
- вход в административную панель и сохранение записи работают;
- формы отправляют заявки, а письма действительно доходят получателю;
- для WooCommerce работают корзина, оформление заказа, платёжный сценарий и изменение статуса заказа;
- REST API, вебхуки, CRM и другие интеграции отвечают штатно;
- планировщик, фоновые задания и очереди продолжают выполняться;
- в журнале PHP и консоли браузера нет новых повторяющихся ошибок;
- права редакторов, авторов и других ролей соответствуют ожидаемым.
Нужно ли отключать автоматические обновления
Для небольшого типового сайта автоматические минорные обновления обычно уменьшают период, когда известная уязвимость остаётся открытой. Для сложного магазина или проекта с собственными плагинами полезнее управляемый процесс: автоматический бэкап, тестирование на копии, установка в согласованное окно и контроль ключевых функций.
Полностью отключать защитные обновления без альтернативного процесса рискованно. Если автоматическое обновление не подходит, назначьте ответственного и настройте уведомления о новых версиях, чтобы релиз не оставался незамеченным.
Что делать, если после обновления появилась ошибка
Не устанавливайте поверх сайта случайные архивы и не начинайте одновременно обновлять все плагины. Сначала зафиксируйте текст ошибки, время появления и затронутый сценарий. Проверьте журнал PHP, состояние кэша и совместимость собственных доработок. Если сайт недоступен, используйте заранее подготовленный откат или восстановление проверенной копии, а причину исследуйте на отдельном стенде.
Если обновление прошло автоматически, сравните время сбоя с журналом обновлений. Это поможет отличить проблему ядра от ошибки плагина, фоновой задачи, изменения PHP или внешнего сервиса.
Источник: официальное сообщение WordPress 7.1.3 Maintenance and Security Release от 6 октября 2026 года. По данным WordPress, релиз содержит семь исправлений безопасности и четыре исправления ошибок.
Нужно безопасно обновить WordPress?
Команда UWEAM подготовит резервную копию, проверит совместимость темы и плагинов, протестирует обновление на отдельном стенде и аккуратно установит его на рабочий сайт. После запуска проверим формы, магазин, интеграции и журналы ошибок.
Обновления и проверки можно включить в пакет поддержки WordPress.
Разработка и поддержка WordPress — wp.uweam.ru.
