WordPress se letos vrací k modelu tří velkých vydání ročně a mezitím připravuje první opravnou verzi po zářijovém uvolnění jádra. WordPress 7.1.1 je naplánovaný jako čistě opravný release na 17. září 2026, RC1 dorazí už 10. září. Souběžně komunita diskutuje o novince pro verzi 7.2 – vestavěném Secrets API, které má konečně vyřešit bezpečné ukládání API klíčů a přístupových údajů přímo v jádru.
Co přinese WordPress 7.1.1
Jde o typický maintenance release – žádné nové funkce, jen sada oprav chyb, které se objevily po vydání 7.1. Tým hledá dobrovolníky na roli release manažera pro celou řadu 7.1.x, přičemž okno pro 7.1.1 je stanoveno mezi 1. a 24. zářím. Pro majitele webů to v praxi znamená jednu věc: jakmile aktualizace vyjde, je dobré ji nasadit v rozumném horizontu dnů, ne měsíců – opravné verze typicky řeší i drobné bezpečnostní nedostatky, i když nejsou označené jako kritická záplata.
Secrets API – bezpečnostní novinka na obzoru
Zajímavější je dlouhodobý výhled. Na vývojářském chatu z 2. září se probíral návrh Secrets API pro verzi 7.2 – standardizovaný způsob, jak pluginy a témata mohou bezpečně ukládat citlivé údaje typu API klíčů, tokenů nebo přístupových hesel ke třetím službám. Dosud si každý plugin řešil ukládání citlivých dat po svém, často přímo v databázi jako čistý text, což byl dlouhodobě jeden z tichých bezpečnostních rizik celého ekosystému. Sjednocené API v jádru by mělo přinést šifrování jako standard, ne jako výjimku závislou na kvalitě konkrétního pluginu.
Návaznost na vylepšení programu zveřejňování zranitelností
Součástí stejné debaty jsou i úpravy programu, přes který se do WordPress jádra a ekosystému pluginů hlásí nově objevené zranitelnosti. Cílem je zrychlit dobu mezi nahlášením chyby a vydáním opravy a zpřehlednit komunikaci směrem k provozovatelům webů – tedy přesně to, co v praxi rozhoduje o tom, jak rychle se web dostane z rizikového stavu do bezpečného po zveřejnění nové CVE.
Co to znamená pro váš web
Pokud spravujete WordPress web sami, hlídejte vydání 7.1.1 v polovině září a nasaďte ho bez zbytečného odkladu – u opravných verzí prakticky neexistuje důvod čekat, riziko nekompatibility je minimální. Sledování Secrets API má smysl hlavně tehdy, pokud používáte pluginy, které pracují s externími API (platební brány, mapové služby, AI nástroje) – jakmile bude API v jádru dostupné, je to signál, že by daný plugin měl na standard přejít, a vy byste se u dodavatele pluginu mohli na tento krok zeptat.
Návrat ke třem hlavním vydáním ročně
Změna kadence vydávání – zpět na tři velké verze místo dvou – má podle vyjádření vývojářského týmu umožnit lepší plánování pro agentury i pluginové vývojáře. Namísto nepředvídatelných skoků mezi verzemi tak vzniká pravidelnější rytmus, který se navíc plánuje vázat na klíčové komunitní akce v průběhu roku. Pro provozovatele webů to v důsledku znamená, že testování kompatibility pluginů a šablon po každé major verzi bude potřeba dělat častěji, ale v menších, předvídatelnějších dávkách – což je z pohledu údržby obvykle snazší zvládnout než jedno velké riskantní vydání ročně.
Proč je Secrets API dobrá zpráva i pro menší weby
Secrets API se na první pohled může zdát jako téma hlavně pro velké projekty s desítkami integrací, ale dotkne se i běžného firemního webu nebo menšího e-shopu. Prakticky každý web dnes má propojení na alespoň jednu externí službu – ať je to platební brána, e-mailový newsletter nebo mapa v kontaktech – a právě tahle propojení bývají nejslabším článkem, pokud plugin ukládá přístupové údaje nešifrovaně. Jakmile bude bezpečné ukládání standardní součástí jádra, přestane být kvalita zabezpečení závislá na tom, jestli si autor konkrétního pluginu dal s šifrováním práci navíc, nebo ne.
Co sledovat, pokud web spravuje agentura
Pokud máte web na starosti externí dodavatel, je vhodné se ho aktivně zeptat, jestli plánuje přechod na Secrets API zahrnout do pravidelné údržby, až bude funkce dostupná, nebo jestli to bude řešit jen na vyžádání. Dobrá praxe je mít tuhle otázku v servisní smlouvě ošetřenou obecně – tedy že bezpečnostně relevantní novinky v jádru WordPressu se do správy webu promítají automaticky, ne až po vlastním upozornění klienta.
Závěr
WordPress pokračuje ve strategii pravidelných, předvídatelných vydání a zároveň řeší dlouho odkládaný bezpečnostní dluh v podobě ukládání citlivých údajů. Nechcete řešit, kdy přesně aktualizovat jádro a které pluginy hlídat kvůli chystanému Secrets API? Domluvte si s námi pravidelnou správu webu – aktualizace i bezpečnostní kontroly za vás budeme hlídat my.
