Projekt PHP usuwa dwie luki krytyczne i wymusza weryfikację wersji serwerowych
Twórcy języka PHP udostępnili 21 października poprawki bezpieczeństwa, które eliminują dwie podatności o statusie krytycznym. Zagrożenie nie ogranicza się wyłącznie do stron opartych na WordPressie, lecz dotyczy każdego oprogramowania działającego w oparciu o silnik PHP. Administratorzy oraz właściciele serwisów powinni niezwłocznie skontrolować wersję środowiska uruchomieniowego w panelu administracyjnym WordPressa, przechodząc do zakładki Narzędzia, a następnie Stan witryny, Informacje i Serwer.
Eksperci do spraw bezpieczeństwa zalecają migrację do gałęzi oficjalnie wspieranych przez projekt PHP, czyli wersji co najmniej 8.2. Choć część dostawców hostingu samodzielnie przenosi poprawki bezpieczeństwa do wycofanych z użytku wydań, utrzymywanie nieobsługiwanych wersji generuje dług technologiczny i ryzyko podatności łańcucha dostaw. W przypadku serwerów zarządzanych samodzielnie instalacja aktualizacji pakietów systemowych powinna być priorytetem przed wdrożeniem dalszych zmian w aplikacjach internetowych.
WordPress 7.2 Beta 1 wprowadza Secrets API oraz notatki na marginesie
David Baumwald ogłosił wydanie wersji WordPress 7.2 Beta 1, otwierając oficjalny etap testowania ostatniej głównej wersji systemu planowanej na ten rok. Finalna premiera ma nastąpić 8 grudnia. Najważniejszą zmianą pod kątem bezpieczeństwa i architektury integracji jest Secrets API. Mechanizm ten zapewnia ustandaryzowane miejsce do bezpiecznego przechowywania kluczy API, haseł oraz tokenów używanych przez wtyczki, ograniczając praktykę zapisywania wrażliwych danych w standardowej tabeli opcji.
Edytor blokowy otrzymał szereg udoskonaleń interfejsu i organizacji pracy zespołowej:
- System notatek przeniesiono poza główny obszar roboczy na margines obok płótna edycyjnego, co pozwala czytać komentarze i uwagi bez konieczności zamykania paska bocznego z ustawieniami bloków.
- Wprowadzono reakcje w formie emoji w wątkach dyskusyjnych wewnątrz edytora, natomiast tryb sugestii poprawek został przesunięty do wydania 7.3.
- Narzędzia projektowe wzbogaciły się o natywną obsługę cieni tekstowych oraz bezpośrednie formatowanie stylów dla elementów formularzy.
- Przetwarzanie multimediów po stronie klienta zostało rozszerzone na Bibliotekę mediów, co odciąża serwer podczas wstępnej obróbki grafik.
- W kokpicie pojawił się widżet informacyjny podsumowujący historyczne zdarzenia w serwisie z danego dnia.
Środowisko testowe można uruchomić natychmiast za pośrednictwem WordPress Playground lub instalując wersję testową na serwerze deweloperskim poleceniem wp core update --version=7.2-beta1. Twórcy oprogramowania podkreślają, że wersji beta nie wolno instalować w środowiskach produkcyjnych.
Narzędzia blokowe zyskują domyślną obsługę React 19
Wraz z rozwojem biblioteki Gutenberg do wersji 24.2 domyślnie włączona została obsługa React 19. Twórcy motywów i rozszerzeń powinni sprawdzić kompatybilność własnego kodu, a w przypadku wystąpienia konfliktów mają możliwość tymczasowego wyłączenia nowego środowiska w zakładce Eksperymenty. Zmiany dotknęły również pakiet komponentów: nowa biblioteka @wordpress/ui sukcesywnie zastępuje dotychczasową @wordpress/components, co wymusi dostosowanie interfejsów zaawansowanych wtyczek.
W bloku Nawigacja wyszukiwarka odnośników potrafi teraz przeszukiwać jednocześnie wpisy, strony, kategorie oraz tagi. Blok Galerii pozwala na manualne sortowanie wybranych zdjęć oraz nałożenie jednolitego efektu duotonu na wszystkie elementy za jednym kliknięciem. Równocześnie liczba bloków obsługujących kontrolki minimalnej szerokości i wysokości wzrosła z 5 do 40.
Postępują również prace nad synchronizacją edycji w czasie rzeczywistym. W eksperymentalnej wtyczce Gutenberg Sync Engines przygotowano do testów trzy silniki wymiany danych: yjs-server, DE-RTC oraz intent-log. Niezależnie od wybranego silnika każda modyfikacja przesyłana przez współpracowników trafia najpierw do WordPressa, który weryfikuje tożsamość użytkownika, sprawdza uprawnienia w systemie i waliduje dane przed zatwierdzeniem zmian w bazie.
WooCommerce 11.3 wycofuje stary punkt końcowy protokołu MCP i testuje rozszerzalne pola
Projekt WooCommerce przygotowuje istotne zmiany dla sklepów korzystających z integracji opartych na modelach sztucznej inteligencji. Darren Ethier poinformował, że w nadchodzącej wersji WooCommerce 11.3 definitywnie usunięty zostanie stary punkt końcowy protokołu Model Context Protocol. Wszelkie zapytania wysyłane pod adres /wp-json/woocommerce/mcp zaczną zwracać kod błędu HTTP 410 Gone.
Właściciele sklepów i programiści łączący klientów AI z platformą muszą zainstalować oficjalną wtyczkę MCP Adapter z katalogu WordPress.org, wygenerować hasło aplikacji dla użytkownika o ściśle ograniczonych uprawnieniach, a następnie skierować ruch do nowego serwera adaptera. Wersja WooCommerce 11.2.1 usunęła z kolei błędy regresji w tradycyjnym procesie zamówienia, w którym modyfikowano pola adresowe za pomocą filtrów, a także poprawiła walidację kodów pocztowych w bloku kasy dla wybranych krajów.
Kolejną nowością w WooCommerce 11.3 jest eksperymentalne API o nazwie Extensible abilities, które można aktywować w ustawieniach zaawansowanych. Umożliwia ono rozszerzeniom bezpośrednie dopisywanie pól własnych do operacji odczytu i zapisu produktów, zamówień oraz pozycji zamówienia, bez konieczności powielania całych mechanizmów platformy. System udostępnia funkcję walidacji, która potrafi odrzucić błędne dane przed ich zapisaniem w bazie.
Testy agentów AI obnażają braki w automatyzacji zadań na WordPressie
Zespół do spraw sztucznej inteligencji w WordPressie uzyskał akceptację planu uczynienia protokołu MCP domyślnym elementem oprogramowania, celując wstępnie w wydanie 7.3. Opublikowane przez Andyego Peatlinga pierwsze wyniki projektu WordPress Agent Benchmarks pokazują jednak, że autonomiczni agenci AI radzą sobie słabo z obsługą systemu. W testach obejmujących 193 scenariusze budowy serwisów agenci wymieniali WordPressa jako potencjalne rozwiązanie w połowie przypadków, ale ostatecznie nie wybrali go ani razu.
Próby wykonania typowych zadań na istniejących instalacjach przy użyciu samego MCP Adaptera zakończyły się zerową skutecznością, ponieważ wtyczka nie zawiera jeszcze zestawu podstawowych poleceń dla najczęstszych operacji administracyjnych. Brad Williams z agencji WebDevStudios wskazuje, że korzystanie z adaptera MCP w środowisku produkcyjnym wymaga ścisłej kontroli administracyjnej. Agent otrzymuje dokładnie takie uprawnienia, jakie posiada przypisany mu użytkownik WordPressa, a każda kolejna zainstalowana wtyczka może bez wiedzy administratora rozszerzyć listę dostępnych dla modelu funkcji serwerowych. Wdrażanie integracji wymaga uprzedniego zdefiniowania profilu uprawnień i ograniczenia dostępu do zasobów.