Quarta versió de seguretat en amb prou feines mes i mig, aquesta amb un CVE crític que obliga a actualitzar ja. A més, Core diu adéu als llançaments sobre l’escenari, Gutenberg canvia de fil de proves i ja pots preguntar-li al Trac des del teu assistent d’IA.
Recorda que pots escoltar aquest programa des de Pocket Casts, Spotify, i Apple Podcasts o subscriure’t al feed directament.
Transcripció del programa
Hola, soc en Josep Morán i estàs escoltant WPpodcast, al resum de notícies de la Comunitat WordPress en català.
En aquest programa trobaràs la informació del 21 al 27 de setembre del 2026.
Quarta versió de seguretat en amb prou feines mes i mig. I aquesta, a diferència de les altres tres, arriba amb CVE propi i severitat crítica.
Toca actualitzar ja.
WordPress 7.1.2 corregeix una vulnerabilitat reportada de manera responsable que permet a un atacant no autenticat fer que la resolució de plantilles de pàgina inclogui un fitxer PHP local arbitrari, sempre que sigui llegible i estigui fora dels directoris del tema actiu. Si es donen certes condicions prèvies al servidor i al tema actiu, això pot derivar en execució remota de codi. El CVE és el CVE-2026-87902.
Els pedaços ja s’han retroportat a totes les branques amb suport de seguretat, de la 4.7 a la 7.0. Si tens un WordPress actiu, comprova la versió i actualitza avui mateix.
Adéu als llançaments sobre l’escenari
Conseqüència directa de l’episodi que ja us vam explicar sobre el llançament de la WordPress 7.1 dalt de l’escenari a la WordCamp US: l’equip de Core, per boca d’Anne McCarthy, anuncia que WordPress abandona el format de llançament en directe sobre un escenari. Després de dues rondes de l’experiment (el State of the Word 2025 i la mateixa 7.1 a la WordCamp US), l’equip reconeix que lligar el llançament a un esdeveniment físic porta més problemes que avantatges: logística complexa, límits a quanta gent del release squad es pot desplaçar, i el propi squad reportant l’estrès afegit d’executar sobre un escenari un procés que no estava pensat per fer-se així.
L’alternativa, proposada per Matt després de parlar-ho amb Anne, és passar a un seminari web per Zoom en streaming, sense data d’esdeveniment fixa: qui forma part del release squad i de la mateixa versió pot compartir la sessió en directe, mentre la resta observa i pregunta, permetent que hi participi més gent de l’equip segons el seu fus horari, sense el cost de desplaçar-se. El format nou arrenca ja amb la WordPress 7.2, prevista per a principis de desembre, amb més detalls sobre com unir-s’hi a mesura que s’acosti la data.
Gutenberg diu adéu a Jest
Gutenberg ha completat la migració dels seus tests unitaris i d’integració en JavaScript, deixant enrere Jest en favor de Vitest. El motiu són dos avantatges de pes: millor suport natiu dels mòduls moderns de JavaScript, que amb Jest exigia mantenir configuració especial cada cop que una dependència adoptava aquest format, i la possibilitat d’executar els tests de components en un navegador real en lloc de simular-lo, per comprovar coses com estils calculats, mides, scroll o interacció per teclat sense dependre d’imitacions.
I no ha costat ni un segon més.
Els mateixos tests en Vitest van acabar abans que el grup més lent dels que corren a Node, així que la nova cobertura al navegador no ha allargat el temps total d’execució.
Ja pots preguntar-li al Trac
Per a qui contribueix al nucli de WordPress, ja hi ha un servidor MCP públic i gratuït per consultar el Trac des de qualsevol assistent d’IA, sense compte ni clau d’API. Funciona amb Claude, ChatGPT o qualsevol altre client compatible amb MCP, i et deixa preguntar coses com què queda pendent en un tiquet concret i quines pull requests segueixen obertes, o demanar un resum d’un changeset i el seu diff, amb eines específiques per buscar tiquets, llegir un tiquet amb la seva discussió i adjunts, consultar un changeset o revisar el timeline. Per defecte connecta amb el Trac de Core, però funciona igual amb la resta de Tracs de WordPress.org, com Meta, Themes, Plugins, bbPress, BuddyPress o GlotPress, canviant l’endpoint.
Un sol Toolkit per a Core i per a Gutenberg
El WordPress Contributor Toolkit arriba a la 1.2 amb una novetat de pes: suport complet per contribuir també a Gutenberg, no només al nucli. El flux és paral·lel al de Core: en crear un lloc, tries si contribueixes a WordPress Core o a Gutenberg, una decisió que ja no es pot canviar després i que determina quin repositori clona i com el construeix. Per a Gutenberg, en lloc de vincular un tiquet de Trac vincules un issue de GitHub, que porta les seves pròpies pull requests amb un botó «Apply…» per provar-les directament, i en acabar la feina pots obrir la pull request al repositori corresponent sense sortir de l’aplicació, amb autenticació per device flow que viu només en memòria mentre l’aplicació està oberta.
Playground intercepta els teus correus
El Dev Tools Dock de WordPress Playground suma una eina més: un panell de correu electrònic que captura i mostra els correus que genera el lloc, sense muntar servidor de correu ni revisar cap safata d’entrada real. Quan WordPress envia un missatge per la via habitual, PHP l’escriu cap a un programa compatible amb sendmail, i Playground intercepta aquest missatge al navegador en lloc d’entregar-lo de veritat, mostrant-lo amb l’assumpte, el remitent, el destinatari i el cos, amb vista prèvia en HTML si el missatge la porta.
Útil per a gairebé qualsevol plugin que enviï correus, Formularis de contacte, missatges de benvinguda o aprovació en membresies, confirmacions de comandes o reserves, o simplement per comparar com queda una plantilla de correu entre diferents temes o versions de WordPress.
bbPress torna a la feina de manteniment
Tercera versió de bbPress en poc més d’un mes, encara que aquesta vegada sense sobresalts de seguretat: la 2.6.18 és una versió de manteniment centrada en la importació de fòrums antics i en l’actualització de contrasenyes en el primer inici de sessió. Els usuaris importats des de formats de fòrum antics ja poden actualitzar la seva contrasenya en iniciar sessió per primer cop, fins i tot en casos on ja no existeix la base de dades original del fòrum; també es corregeixen els estats de tema, el recompte de respostes i les dates de fòrum en importar des de PHPWind, i es restaura l’enllaç d’edició de Super Moderador a les pantalles d’usuari del frontend.
Comunitat mou fitxa cap a events.WordPress.org
L’equip de Comunitat dona novetats sobre la migració dels grups de meetup de WordPress des de Meetup.com cap a events.WordPress.org, l’alternativa basada en GatherPress. Després de la crida a proves de finals d’agost, que va deixar molt feedback útil, el pla per als prop de 700 grups afectats avança en tres fases:
- Ara mateix, es treballa sobre el feedback rebut.
- El pas següent: grups reals organitzant esdeveniments reals a la plataforma, per veure què funciona i què es trenca, incloent-hi provar l’eina de migració que importa dades des de Meetup.com.
- Només quan la plataforma i aquesta via de migració hagin aguantat l’ús real, s’obrirà a la resta de grups.
Ja hi ha coses decidides:
- L’eina de migració importarà els esdeveniments propers i les seus com a esborranys, perquè l’organitzador els revisi abans de publicar.
- No copiarà la llista de membres: cadascú s’haurà d’unir pel seu compte amb un compte de WordPress.org.
- De moment l’executarà algú del mateix equip, no l’organitzador del grup, i els esdeveniments passats queden fora d’aquesta primera ronda.
Per això l’equip insisteix: si organitzes un grup, comença ja a animar els teus membres a crear-se un compte a WordPress.org, perquè serà un requisit ineludible per seguir-hi després de la migració.
Queden dues preguntes obertes: si serà possible migrar membres en bloc aparellant comptes de Meetup amb comptes de WordPress.org, cosa que depèn d’una decisió pendent sobre gestió de dades d’usuaris; i què passarà finalment amb la pàgina de Meetup.com de cada grup, que durant el pilot es mantindrà activa però redirigint cap a la nova plataforma en lloc de portar la seva pròpia llista d’assistència paral·lela.
WordPress ja presideix l’Open Website Alliance
Mary Hubbard, directora executiva del Projecte WordPress, assumeix la presidència de l’Open Website Alliance, l’organisme que agrupa les organitzacions darrere de Drupal, Joomla!, TYPO3 i WordPress per defensar el programari lliure de manera conjunta. El càrrec és rotatori entre els membres de l’Aliança, així que ara li toca el torn a WordPress.
L’Aliança va néixer el 2024 a partir de la feina conjunta d’aquests quatre projectes responent a la Cyber Resilience Act de la Unió Europea, defensant davant els legisladors que els seus gestors de continguts no són només infraestructura digital de base, sinó la maquinària amb la qual negocis reals arriben als seus clients i venen productes, i que qualsevol requisit de seguretat hauria de tenir en compte aquest paper econòmic sense ofegar com treballen les comunitats de desenvolupadors, traductors i col·laboradors que mantenen el programari.
Un gest amb missatge de fons.
Hubbard emmarca el nomenament en la mateixa línia que la recent signatura de WordPress de la carta sobre models d’IA de pes obert: la idea que tothom hauria de tenir llibertat per usar, modificar i compartir les eines de les quals depèn.
Què toca fer aquesta setmana
- Actualitza el WordPress a la 7.1.2 avui mateix si tens un lloc actiu: la vulnerabilitat és crítica.
- Si organitzes un grup de meetup, anima ja els teus membres a crear-se un compte a WordPress.org.
- Si contribueixes al nucli o a Gutenberg, prova el servidor MCP del Trac o el Contributor Toolkit 1.2.
Recordeu que aquest pòdcast es distribueix amb llicència Creative Commons com una versió derivada del WPpodcast en espanyol; tens tots els enllaços per ampliar la informació i el pòdcast en altres idiomes, a WPpodcast.cat.
Una abraçada, i fins al pròxim programa.
Deixa un comentari