157. Tres mil informes de seguretat, la 7.1.4 i WordPress preparant-se per als agents d’IA

L’equip de Seguretat fa balanç de dos mesos de la Core Security Initiative: una allau d’informes accelerats per la IA i quatre versions de seguretat en 41 dies, l’última la 7.1.4. A més, la 7.2 ja és a la Beta 3. També tens una proposta perquè gestionis el lloc amb l’agent d’IA que vulguis, el disseny de Feature Notifications, un error de privacitat a les entrades dels esdeveniments, registre amb QR a CampTix i bbPress 2.6.21.

Recorda que pots escoltar aquest programa des de Pocket Casts, Spotify, i Apple Podcasts o subscriure’t al feed directament.

Transcripció del programa

Hola, soc en Josep Morán i estàs escoltant WPpodcast, al resum de notícies de la Comunitat WordPress en català.

En aquest capítol trobaràs la informació del 26 d’octubre al 1 de novembre del 2026.

Entre vint i trenta. Aquests eren els informes de seguretat que rebia cada mes el programa de WordPress a HackerOne. Durant deu anys.

Al juliol en van arribar 450.

L’equip de Seguretat posa xifres a l’allau

Fa dos mesos es va llançar la Core Security Initiative, i l’equip de Seguretat ja n’ha fet balanç. Les xifres expliquen per què hem vist tants pegats seguits. Al juliol, 450 informes. A l’agost, 773. I aquest any ja passen dels 3.000, més que els darrers dotze anys anteriors junts.

Gran part ve de recerca accelerada amb eines d’IA. Això fa WordPress més segur, però obliga a córrer més en tot el que ve després: classificar, corregir, retroportar, provar i publicar. D’aquí surten quatre versions de seguretat en 41 dies, de la 7.1.1 a la 7.1.4, i set des de mitjans de juliol. En total, més de 50 vulnerabilitats crítiques o altes tancades, amb cada correcció portada a totes les branques amb suport, fins a la versió 4.7.

Com s’aguanta aquest ritme? Amb tres canvis:

1. Cada llançament té un equip fix de persones de confiança, amb funcions clares.
2. Es publica en dues onades, per protegir primer les versions més utilitzades.
3. S’automatitza el que és lent. La retroportació abans es feia a mà en fins a 25 branques. Ara ja té automatitzats el 73% dels 109 passos d’una versió de seguretat, amb eines obertes.

Però no tot s’agilitza. Una mica de fricció es manté expressament: només un grup petit pot empaquetar versions, per protegir-se d’atacs a la cadena de subministrament.

Aquest any s’han tancat gairebé 3.000 informes, i la cua sense classificar ha baixat de 359 a dues xifres. Ara l’equip ha reorientat les eines per buscar vulnerabilitats al nucli abans que ningú les reporti, amb models de pesos oberts i arnesos fets a mida. A més, WordPress s’ha inscrit a l’OSS Scanner d’Anthropic, que ofereix anàlisis gratuïtes a projectes de codi obert. Els primers resultats ja s’estan revisant, i Anthropic apareix acreditada als anuncis de les versions.

La 7.1.4 tanca la sèrie, i la 7.2 no s’atura

La quarta d’aquestes versions és la 7.1.4, i arriba amb una llista llarga de correccions. La més greu és un error en el procés d’actualització. Podia permetre l’execució remota de codi just durant la finestra en què el lloc s’actualitza.

La resta són sobretot XSS emmagatzemats, en aquests punts:

1. Marcatge de blocs manipulat.
2. El refresc selectiu del Personalitzador.
3. Els blocs de Categories, Playlist, Imatge i paginació de comentaris.
4. Les sol·licituds d’eliminació de dades personals.
5. Noms d’usuari manipulats.
6. Diversos punts de la Interactivity API.

En aquesta mateixa API també es corregeix una denegació de servei emmagatzemada. A més, els esborranys de canvis del Personalitzador ja no es poden veure sense autenticar. Les Notes també deixen de ser llegibles per a usuaris amb privilegis que no poden editar l’entrada. I s’actualitzen els certificats arrel inclosos.

Si tens llocs amb WordPress, actualitza ja. Els pegats es retroporten fins a la branca 4.7. És una versió de cicle curt: la següent gran continua sent la 7.2, el 8 de desembre. L’anunci no detalla CVE ni xifres totals, però la fitxa a HelpHub en dona més detalls.

Mentrestant, la 7.2 segueix el seu camí. Després de la Beta 2 ja ha sortit una Beta 3 amb totes les correccions aplicables de la 7.1.4. La segona beta continua polint, sense canvis de calendari ni funcions noves cridaneres:

1. Més feina a l’Abilities API: consulta de continguts, requisits de capacitats i millores d’esquemes i permisos.
2. Capacitats de registre des del servidor per a DataViews i DataForm.
3. Més flexibilitat a l’API REST, una millor càrrega de recursos a l’escriptori i el pas a icones SVG.

Queda’t amb el nom d’aquesta Abilities API. Ara mateix veuràs per què.

L’equip d’IA vol que hi portis el teu propi agent

L’equip d’IA de WordPress ha publicat una proposta perquè qualsevol persona pugui gestionar el seu lloc amb l’agent d’IA que prefereixi, sense haver de ficar cap assistent dins de WordPress. Milions de persones ja fan servir agents per cercar, comprar o muntar negocis. A més, diversos productes, plugins i eines han demostrat que hi ha demanda per administrar llocs així.

L’escena que plantegen és senzilla. Obres el teu agent i li demanes ajuda amb el lloc. L’agent reconeix WordPress i et dona un enllaç per autoritzar l’accés. Inicies sessió i ja hi és.

Avui, en canvi, has d’instal·lar i configurar l’adaptador MCP, aconseguir les funcions adequades i gestionar l’autenticació amb contrasenyes d’aplicació. Amb el risc d’acabar enganxant-les en text pla dins l’agent. No és precisament l’ideal.

El pla té quatre fronts coordinats. Aprofiten el cicle de la 7.2 per posar les bases i apunten a la 7.3 per a la versió integrada:

1. L’adaptador MCP. S’iterarà ràpidament per guanyar fiabilitat i seguretat. La idea és proposar portar MCP al nucli a la 7.3, ja sigui fusionat o empaquetat perquè evolucioni per separat.
2. Les Abilities. Es definirà un conjunt bàsic per a les tasques de gestió habituals, i es valorarà si algunes arriben ja a la 7.2.
3. L’autenticació OAuth. Servirà per autoritzar agents sense generar ni compartir contrasenyes d’aplicació. També beneficiaria l’API REST, i es podria recolzar en la Secrets API de la 7.2 per gestionar tokens amb seguretat.
4. Una experiència d’usuari de principi a fi. Cobrirà des que l’agent descobreix el lloc fins que gestiones o revoques els permisos.

Feature Notifications vol una sola campana per a tot

Si et perds entre avisos de plugins, això t’interessa. Feature Notifications, el projecte per donar a WordPress un sistema de notificacions unificat, ja té una proposta de disseny per veure com podria ser. L’han posada a prova amb tots els missatges que avui mostren WooCommerce i WooPayments, i hi ha una demo en directe.

La idea és una única campana per a tot el lloc. Els avisos actuals només surten en algunes pantalles. La campana, en canvi, seria a tot l’escriptori, dins de l’editor i a la part pública. Cada notificació s’obre i et diu de què va, qui l’envia i quin és el següent pas. Els problemes reals es queden a dalt fins que es resolen.

La segona versió del prototip se centra en les regles perquè tot es vegi i es comporti igual, ho enviï qui ho enviï:

1. Els plugins envien dades, no disseny, i trien entre quatre formats.
2. Cada notificació es descriu amb cinc dimensions, entre elles el tipus, la gravetat i l’estat de lectura. Els valors els defineix el nucli.
3. El que és crític ha de ser rar i visible. Tenyeix de vermell el comptador fins que es resol, no només fins que es llegeix.
4. Hi ha una pestanya d’alertes.
5. Hi ha límits contra el soroll. Els avisos repetits se substitueixen o s’agrupen, i els consells i les ofertes es poden apagar de cop.

L’equip de Comunitat reconeix un error de privacitat

Ara toca una notícia incòmoda. L’equip de Comunitat ha reconegut un error de privacitat a les pàgines d’entrada dels esdeveniments. Entre el 20 de maig del 2025 i el 28 d’octubre del 2026, algunes persones que havien decidit no sortir a la pàgina pública d’assistents hi van sortir igualment.

Què passava? La pàgina d’edició de l’entrada mostrava «Sí» a la pregunta de si volies aparèixer al llistat, encara que haguessis respost «No». En desar-la, per exemple per canviar el nom, la resposta passava a «Sí».

Es mostraven noms i Gravatars. En alguns esdeveniments, també enllaços a webs o perfils socials i dades com l’empresa o el càrrec. Segons la revisió, no es van veure correus, telèfons, adreces ni respostes sobre alimentació o accessibilitat. Calculen unes 1.280 entrades afectades en 168 esdeveniments, amb WordCamp Asia 2026, WordCamp Europe 2026 i WordCamp Dhaka 2025 al capdavant.

La resposta anterior no havia quedat registrada. Per això l’equip va amagar totes les persones que podien estar afectades: unes 8.580 entrades, incloses algunes que sí que havien triat sortir-hi. L’error es va corregir el mateix dia que el van trobar.

S’enviarà un correu a organitzadors i assistents dels propers esdeveniments. Si havies triat sortir al llistat i ara no hi ets, això va per tu: obre l’enllaç del correu de la teva entrada, posa «Sí» i desa. Per a dubtes sobre dades personals, tens l’adreça dpo@wordpress.org.

I ara, una de bona per a qui organitza esdeveniments: CampTix estrena el registre amb codis QR i QR a les acreditacions. Cada assistent rep el seu codi, al correu i a la pàgina de la seva entrada. A la porta, el voluntari obre l’adreça secreta al mòbil, escaneja el codi i confirma amb «Sí». La fila es posa en verd.

L’escàner avisa si l’entrada està reemborsada, cancel·lada, pendent o ja registrada. I si algú ha compartit un codi, se’n pot emetre un de nou que anul·la l’anterior.

bbPress torna, i un altre cop per seguretat

Nova versió de bbPress i, un altre cop, de seguretat i manteniment. La 2.6.21 reforça el control d’accés en aquests punts:

1. Els feeds dels fòrums.
2. Els resultats de cerca.
3. L’activitat de BuddyPress.
4. Els fòrums de grup.
5. Les peticions d’arxius adjunts.
6. El moviment de temes.
7. Les redireccions de temes i respostes antics.

A més, les contrasenyes heretades dels fòrums ara s’apliquen de manera coherent quan WordPress mostra el contingut de temes i respostes. I les peticions de moderació a Akismet exigeixen HTTPS.

Pel que fa al manteniment:

1. Es milloren les consultes de frescor dels fòrums i de recompte de fills.
2. Es conserven les metadades quan falla una consulta a la base de dades.
3. Es mantenen les dates originals i el contingut de les revisions en moderar i editar.
4. Es reparen elements de llista orfes senzills a WordPress 6.9 i posteriors.
5. Es conserven els extractes generats, sense duplicar contingut.
6. S’afegeix la relació ugc als enllaços de temes i respostes.
7. S’actualitzen les icones d’administració per a WordPress 7.2 i posteriors, en línia amb el canvi de Dashicons per SVG.

Què toca fer aquesta setmana

1. Actualitza a WordPress 7.1.4 tots els llocs que gestiones.
2. Si tens fòrums amb bbPress, passa a la 2.6.21.
3. Si havies triat sortir al llistat d’assistents d’algun esdeveniment, obre l’enllaç del correu de la teva entrada, posa «Sí» i desa.

Recordeu que aquest pòdcast es distribueix amb llicència Creative Commons com una versió derivada del WPpodcast en espanyol; tens tots els enllaços per ampliar la informació i el pòdcast en altres idiomes, a WPpodcast.cat.

Una abraçada, i fins al pròxim programa.