Il 6 ottobre 2026 è uscito WordPress 7.1.3, una release di manutenzione e sicurezza con 7 correzioni di sicurezza e 4 correzioni di bug. Il team di WordPress consiglia di aggiornare subito; i siti con gli aggiornamenti automatici in background lo ricevono da soli.
Fonte primaria: l’annuncio WordPress 7.1.3 Maintenance and Security Release sul blog ufficiale di WordPress.org, firmato da Jake Spurlock e datato 6 ottobre 2026, e la pagina della documentazione della versione 7.1.3. Le abbiamo lette entrambe il 7 ottobre 2026. Quello che segue arriva da lì, salvo dove è scritto il contrario.
Che cosa contiene la release
L’annuncio elenca sette problemi di sicurezza corretti, con il nome di chi li ha segnalati.
- Un XSS memorizzato nella pagina di amministrazione dei commenti, sfruttabile tramite commenti in attesa di approvazione.
- Un problema di denial of service nel metodo
WP_Http::make_absolute_url(). - Una SQL injection di secondo ordine nell’esportazione WXR.
- Una debolezza che permette agli utenti con ruolo Autore di rendere un articolo in evidenza (sticky).
- La divulgazione, senza autenticazione, di commenti su articoli privati e non pubblicati.
- Un XSS negli embed di Imgur.
- Parametri falsificabili passati all’hook
{status}_{type}, che possono causare una collisione di nomi di azione.
Le segnalazioni arrivano da fonti diverse: Trail of Bits, Patchstack, tre ricercatori citati per nome, il team di sicurezza di WordPress e, per tre dei sette punti, Anthropic. Le correzioni dei bug sono quattro, ma l’annuncio non le descrive.
Il contesto aiuta. Questo è il terzo rilascio di manutenzione e sicurezza in tre settimane, dopo il 7.1.1 del 17 settembre e il 7.1.2 del 22 settembre. Quest’ultimo correggeva, secondo l’annuncio del 22 settembre, una vulnerabilità definita critica.
Che cosa cambia per chi gestisce un sito
Aggiornare. Non c’è una versione da scegliere né un’impostazione da cambiare. Il percorso è quello di sempre: bacheca, voce Aggiornamenti, pulsante Aggiorna. Dove sono attivi gli aggiornamenti automatici in background il processo parte da solo.
L’annuncio ricorda che le correzioni vengono riportate, dove serve, su tutti i rami ancora idonei a ricevere patch di sicurezza, attualmente fino al 4.7, e che i backport sono in corso e usciranno man mano che sono pronti. Ricorda anche che solo l’ultima versione di WordPress è supportata attivamente. Chi è rimasto su un ramo vecchio deve quindi controllare, ramo per ramo, se la sua correzione è già uscita.
Nella nostra esperienza il ritardo più comune non è tecnico: nessuno ha l’incarico di premere il pulsante. Se gestisci siti per conto di altri, la regola pratica è una copia di sicurezza prima dell’aggiornamento e un controllo a mano delle pagine che contano dopo. Per il resto della filiera, abbiamo già scritto di come WordPress.org blocca gli aggiornamenti di plugin ad alto rischio, di come scegliere i plugin per la PMI e di quali dati escono dal sito.
Che cosa non è ancora chiaro
- La gravità di ciascun problema. L’annuncio del 7.1.3 non indica livelli di severità né identificativi CVE, che invece comparivano nell’annuncio del 7.1.2.
- Se qualcuno dei sette problemi sia già sfruttato. Nei testi letti non c’è alcuna indicazione.
- Una discrepanza nelle fonti ufficiali: la pagina di documentazione della versione scrive che la release contiene una correzione di sicurezza, mentre elenca poi sette segnalazioni e l’annuncio parla di sette correzioni.
- Quali rami più vecchi abbiano già ricevuto il backport. L’annuncio dice solo che sono in corso.
Questo testo non sostituisce la lettura dell’annuncio ufficiale né il parere di chi cura la sicurezza del tuo sito. Per un sito in produzione conviene provare l’aggiornamento prima su una copia.
Chi, nella tua azienda, ha il compito di aggiornare WordPress quando esce una versione di sicurezza?
Scarica la guida in PDF: WordPress 7.1.3: aggiornamento di sicurezza del 6 ottobre (PDF)