WordPress 7.2 arrive (et la 7.1.3 est une version de sécurité) : nouveautés et mise à jour en toute sécurité

Deux versions de WordPress comptent cet automne. WordPress 7.1.3, publiée le 6 octobre 2026, est une version de sécurité comportant sept correctifs, et tous les sites devraient déjà l'avoir installée. WordPress 7.2, dernière version majeure de 2026, a atteint la Beta 1 le 20 octobre et est attendue le 8 décembre.

Ce guide détaille ce que la 7.1.3 a corrigé, ce qu'apporte la 7.2, les changements susceptibles d'affecter votre thème ou vos extensions, et comment tester la nouvelle version sans mettre en danger votre site en ligne.

WordPress 7.1.3 : sept correctifs de sécurité

WordPress 7.1.3 est une version de maintenance et de sécurité qui comprend 7 correctifs de sécurité et 4 corrections de bugs. Voici les failles qu'elle corrige :

• une faille de cross-site scripting (XSS) stockée sur l'écran d'administration des commentaires, exploitable via les commentaires en attente ;
• un problème de déni de service dans WP_Http::make_absolute_url() ;
• une injection SQL de second ordre dans l'outil WXR (export) ;
• la possibilité pour les utilisateurs ayant le rôle Auteur de mettre des articles en avant ;
• des commentaires sur des articles privés ou non publiés lisibles sans être connecté ;
• une faille XSS dans les contenus intégrés Imgur ;
• des paramètres falsifiables dans le hook {status}_{type}, pouvant provoquer des collisions de noms d'actions.

Plusieurs de ces failles ont été signalées par des chercheurs en sécurité de Trail of Bits, OpenAI, Anthropic et Patchstack, nouvelle preuve de tout ce que la recherche en sécurité assistée par l'IA permet désormais de découvrir dans des logiciels très répandus. Les mêmes correctifs ont été intégrés à WordPress 7.0.7 et rétroportés sur toutes les branches encore éligibles aux correctifs de sécurité, jusqu'à la 4.7. Seule la dernière version bénéficie toutefois d'un support actif : rester « en 6.x avec les rétroportages » n'est donc pas une solution à long terme.

La 7.1.3 succède en outre à deux autres versions de sécurité publiées en quelques semaines : la 7.1.1 (17 septembre, 11 correctifs de sécurité) et la 7.1.2 (22 septembre, un correctif critique pour une faille qui, dans certaines conditions, pouvait permettre à un attaquant non authentifié d'exécuter du code PHP). Si votre site a fait l'impasse sur l'une d'entre elles, il est vulnérable.

Vérifiez que vous êtes en 7.1.3

Dans le tableau de bord, allez dans Tableau de bord > Mises à jour. Les sites dont les mises à jour automatiques en arrière-plan sont activées devraient déjà l'avoir. En ligne de commande :

# Show the installed version
wp core version

# Update to the latest release, then update the database if asked
wp core update
wp core update-db

# Update plugins and themes too
wp plugin update --all
wp theme update --all

Calendrier de sortie de WordPress 7.2

WordPress 7.2 est dirigée par Matt Mullenweg, avec David Baumwald à la coordination et George Mamadashvili et Peter Wilson comme responsables techniques. Voici le calendrier officiel :

• Beta 1 : 20 octobre 2026 (disponible)
• Beta 2, 3 et 4 : 27 octobre, 3 novembre et 10 novembre
• Release Candidate 1 : 17 novembre, suivie de la RC2 (24 novembre) et de la RC3 (1er décembre)
• Version finale : 8 décembre 2026

Pour la première fois, la publication elle-même sera diffusée en direct sous forme de webinaire public, afin que chacun puisse assister à sa sortie. Les modalités de participation seront communiquées à l'approche de la date.

Les nouveautés de WordPress 7.2

Ipsum, un nouveau thème par défaut

WordPress 7.2 devrait intégrer Ipsum, un thème de blog volontairement minimaliste, véritable page blanche. Il marque aussi la fin des noms de thèmes basés sur l'année, comme Twenty Twenty-Five : les thèmes par défaut ont désormais leur propre nom et changent quand le design l'exige, et non plus chaque année.

Des notes améliorées, et un mode suggestion en préparation

Les notes, la fonction de commentaires de l'éditeur, s'enrichissent de réactions par emoji, de notes affichées directement sur le canevas et d'une vue réduite. La feuille de route officielle présente le mode suggestion, qui permet de proposer des modifications que l'auteur accepte ou refuse, comme la pièce maîtresse de ce cycle. Il ne figurait pas dans la Beta 1 : considérez-le donc comme prévu tant qu'une bêta ultérieure ne l'a pas confirmé. L'édition collaborative en temps réel ne fait pas partie de la 7.2.

Une API Secrets pour les identifiants

Les extensions stockent souvent des clés d'API et des mots de passe sous forme d'options en clair dans la base de données. La 7.2 introduit une API Secrets avec chiffrement au repos, rotation des identifiants et stockage modulaire. Dans la 7.2, sa gestion devrait se faire uniquement via WP-CLI, un écran d'administration étant prévu pour la 7.3. Si vous développez des extensions qui stockent des identifiants de services tiers, elle mérite d'être adoptée rapidement.

Une administration plus rapide et une gestion des médias plus intelligente

• Les scripts et styles de l'administration se chargent désormais individuellement, avec préchargement, au lieu d'être concaténés, ce qui permet aux navigateurs de mieux les mettre en cache.
• La Médiathèque redimensionne, compresse et convertit les images dans le navigateur avant leur envoi, ce qui allège la charge du serveur.
• Le menu d'administration et la barre d'outils abandonnent les Dashicons au profit d'icônes SVG issues de la bibliothèque d'icônes WordPress.

Et bien plus

La Beta 1 ajoute également des réglages de galerie responsive, des ombres et dégradés de texte, la mise en forme des éléments de formulaire, un outil d'insertion de médias repensé et un widget de tableau de bord « Ce jour-là ». Les fonctionnalités d'IA restent pour l'instant dans l'extension IA officielle : elles doivent démontrer une réelle adoption avant d'être envisagées pour le cœur de WordPress.

Les changements qui pourraient casser votre site

La plupart des sites se mettront à jour sans difficulté, mais voici les changements à tester, surtout si vous utilisez du code personnalisé :

• Mode SQL : NO_BACKSLASH_ESCAPES est désormais retiré par défaut du mode SQL de la connexion à la base de données. Le code qui en dépendait doit utiliser le filtre incompatible_sql_modes dans un drop-in db.php, car la connexion à la base de données s'établit avant le chargement des extensions.
• Icônes : environ 330 icônes du cœur sont désormais basées sur des contours avec fill: none. Le CSS personnalisé qui modifie la couleur des icônes avec fill doit utiliser color à la place.
• Composants obsolètes : les composants Divider, ResponsiveWrapper, Scrollable, ZStack et Elevation sont dépréciés et seront supprimés dans la 7.4.
• Chargement des scripts : les extensions qui partaient du principe que les scripts d'administration étaient concaténés doivent être vérifiées avec le nouveau mode de chargement.

/* Before: recolouring core icons with fill no longer works in 7.2 */
.my-plugin .components-button svg { fill: #ff9900; }

/* After: icons are stroke-based, so use color */
.my-plugin .components-button svg { color: #ff9900; }

Les prérequis PHP ne changent pas avec la 7.2. La version minimale prise en charge reste PHP 7.4 (depuis WordPress 7.0), et la version recommandée est PHP 8.3 ou plus récente, avec MySQL 8.0+ ou MariaDB 10.11+.

Comment tester WordPress 7.2 en toute sécurité

Le projet WordPress recommande lui-même de tester les bêtas dans WordPress Playground, sur un site local ou sur un site de préproduction, après avoir effectué une sauvegarde. Jamais sur le site qu'utilisent vos clients.

Option 1 : une copie de préproduction de votre site

C'est le test le plus utile, car il utilise votre véritable thème, vos extensions et votre contenu. Créez une copie de préproduction, puis mettez-la à jour vers la bêta :

# On the staging copy only
wp core version

# Install the current beta (use beta2, beta3... as they come out)
wp core update --version=7.2-beta1

# Or follow the latest development build
wp core update --version=nightly

# Go back to the stable release if needed
wp core update --version=7.1.3 --force

Vous préférez cliquer plutôt que taper des commandes ? Installez l'extension WordPress Beta Tester sur le site de préproduction, choisissez le canal « Bleeding edge » avec l'option « Beta/RC Only », puis lancez la mise à jour depuis Tableau de bord > Mises à jour.

Option 2 : WordPress Playground

WordPress Playground exécute une bêta complète de WordPress 7.2 dans votre navigateur, sans rien installer. C'est idéal pour découvrir rapidement Ipsum et les nouvelles fonctionnalités de l'éditeur, mais cela ne vous dira pas si vos propres extensions fonctionnent.

Confiez-nous les mises à jour de WordPress

Trois versions de sécurité en cinq semaines, un correctif PHP critique et une version majeure en décembre : assurer la sécurité de WordPress est devenu un travail à part entière. Avec l'hébergement WordPress infogéré de WebGee, vous disposez de tout ce qu'il faut pour vous simplifier la vie : SSL gratuit, sauvegardes, cache LiteSpeed et support WordPress 24h/24 et 7j/7, avec un environnement de préproduction inclus à partir de l'offre Turbo, pour essayer d'abord WordPress 7.2 sur une copie de votre site.

Lorsque PHP2Shell a frappé en octobre, nos ingénieurs ont corrigé tous les serveurs cPanel et WordPress infogéré de WebGee, sans aucune intervention de la part de nos clients. Voilà le genre de maintenance dont nous vous déchargeons.