WordPress 7.0 : nouveautés, migration et correctif de sécurité jusqu'à 7.0.4

Mise à jour du 20 août 2026 : WordPress 7.0.4 est disponible depuis le 12 août. Cette mise à jour corrige une vulnérabilité pouvant permettre à un compte Auteur ou supérieur d’exécuter du code à distance sur les sites utilisant Imagick avec Ghostscript. Voir la section Suivi post-release.

Mise à jour du 7 août 2026 : WordPress 7.0.3 est disponible. Il s’agit d’une mise à jour de sécurité qui doit être appliquée sans attendre. Voir la section Suivi post-release.

Mise à jour du 22 juillet 2026 : la CISA a ajouté le 21 juillet les deux vulnérabilités corrigées par WordPress 7.0.2 à son catalogue KEV, confirmant leur exploitation active. Les sites qui utilisent encore une version antérieure doivent installer la mise à jour sans délai. Voir la section Suivi post-release.

Mise à jour du 20 juillet 2026 : WordPress 7.0.2 est disponible depuis le 17 juillet. Cette version de sécurité corrige deux vulnérabilités qui, combinées, peuvent permettre une exécution de code à distance. Cloudflare a déployé des règles WAF pour réduire l’exposition des sites qui utilisent son proxy, mais une mise à jour immédiate reste nécessaire. Voir la section Suivi post-release.

Mise à jour du 9 juillet 2026 : WordPress 7.0.1 est disponible. Cette version de maintenance corrige 31 bugs dans le Core et l’éditeur de blocs. Voir la section Suivi post-release.

Mise à jour du 2 juillet 2026 : WordPress 7.0.1 RC1 est disponible pour les tests depuis le 1er juillet. Voir la section Suivi post-release.

Mise à jour du 18 juin 2026 : WordPress 7.0.1 est planifié pour le 9 juillet 2026. Voir la section Suivi post-release.

Mise à jour du 20 mai 2026 : WordPress 7.0 est disponible en version stable depuis aujourd’hui. Voir notre article complet sur les nouveautés de WordPress 7.0.

Mise à jour du 8 mai 2026 : la collaboration en temps réel (RTC) est retirée de la version 7 en raison de problèmes techniques. Voir la brève sur ce sujet.

Mise à jour : 23 avril 2026. La nouvelle date de sortie est fixée au 20 mai 2026. Voir nouveau calendrier ci-dessous.

Cet article synthétise les nouveautés de WordPress 7.0, leurs conséquences pour les utilisateurs et les développeurs, ainsi que le suivi des versions de maintenance et de sécurité jusqu’à WordPress 7.0.4.

Sommaire

• Calendrier officiel
• Préparer une migration vers WordPress 7.0
• Ce qui change pour les utilisateurs
• Ce qui change pour les développeurs
• Après la sortie
• Suivi post-release
• Sources et références

Calendrier officiel

Le calendrier ci-dessous est celui publié par l’équipe Core sur make.wordpress.org/core/7-0.

Préparer une migration vers WordPress 7.0

Il s’agit d’une version majeure avec des changements structurels. Sauf si vous avez forcé les mises à jour automatiques pour les releases majeures (ce qui n’est pas recommandé), vos sites ne basculeront pas automatiquement sur WP 7.0. Vous garderez donc le contrôle du calendrier de mise à jour.

Sauvegardez. Fichiers et base de données. Avant toute version majeure, une sauvegarde complète est indispensable pour pouvoir revenir en arrière si nécessaire.

Vérifiez votre version PHP. PHP 7.2 et 7.3 ne sont plus supportés. Le minimum passe à PHP 7.4. L’équipe core recommande PHP 8.3, et WP 7.0 introduit un support beta de PHP 8.5. Si vos serveurs tournent encore sur 7.2 ou 7.3, c’est un point de blocage à régler avant la mise à jour.

Vérifiez la compatibilité de vos plugins et thèmes. Le passage progressif de l’éditeur en iframe peut affecter les plugins qui injectent du JavaScript ou du CSS dans l’éditeur. Consultez les changelogs de vos extensions, en particulier celles liées à l’éditeur de blocs, et installez leurs versions compatibles avec votre branche de WordPress.

Testez en staging. Recréez votre environnement de production et vérifiez le comportement de vos thèmes, plugins et contenus personnalisés avec WordPress 7.0.4. C’est la façon la plus fiable de détecter une incompatibilité avant qu’elle ne touche vos visiteurs. WordPress Playground peut également servir à réaliser un premier test dans le navigateur, sans modifier le site en production.

Pour les développeurs. Si vous maintenez des plugins, des thèmes ou du code personnalisé, contrôlez les changements d’API et les nouveaux supports de blocs détaillés plus bas. Les extensions qui modifient l’éditeur ou l’administration doivent faire l’objet d’une attention particulière.

Pour les équipes éditoriales. Les Notes dans l’éditeur peuvent modifier les habitudes de validation des contenus. La co-édition en temps réel testée pendant le cycle a en revanche été retirée avant la version stable.

Planifiez le passage en production. Déployez la mise à jour après la sauvegarde et les tests de compatibilité, puis contrôlez les fonctions critiques et les journaux d’erreurs.

Ce qui change pour les utilisateurs

Co-édition : retirée avant la version stable

Mise à jour du 8 mai 2026 : la collaboration en temps réel (RTC) a été retirée de WordPress 7.0 en raison de problèmes techniques. Voir la brève sur ce sujet.

La co-édition a été testée pendant les versions bêta, mais elle n’est pas présente dans WordPress 7.0 stable. Deux utilisateurs ne peuvent donc pas modifier simultanément le même article ou la même page avec le Core seul.

L’implémentation expérimentée pendant le cycle reposait sur Yjs, une implémentation de CRDT, avec un transport par défaut en polling HTTP et la possibilité d’utiliser des WebSockets. Les difficultés de compatibilité, notamment avec certaines métadonnées et extensions de l’éditeur, ont conduit à son retrait.

La constante WP_ALLOW_COLLABORATION utilisée dans les bêtas ne permet pas d’activer cette fonction dans la version stable. L’analyse consacrée à la co-édition en temps réel reste utile pour comprendre l’expérimentation, mais pas comme procédure d’activation sur un site en production.

Source : Real-Time Collaboration in the Block Editor (dev note, 10 mars 2026).

Dans le prolongement de la collaboration en temps réel, une initiative expérimentale donne un aperçu des évolutions possibles côté administration : le “Presence API feature plugin”. Ce plugin expérimental, développé en dehors du core, explore l’ajout d’une couche globale de “présence” dans WordPress, permettant de savoir quels utilisateurs sont connectés, sur quels écrans ils se trouvent et quels contenus ils consultent ou modifient.

L’objectif est d’aller au-delà de l’éditeur pour introduire une forme de “conscience multi-utilisateurs” à l’échelle de l’admin, en limitant les conflits et en améliorant la coordination entre équipes. Techniquement, le projet s’appuie sur les mécanismes existants (notamment la Heartbeat API) avec un stockage éphémère, et ne constitue pas à ce stade une fonctionnalité native de WordPress 7.0. Il illustre toutefois clairement la direction prise : une interface plus interactive, plus contextuelle et pensée pour des usages collaboratifs.

Source : Presence API Feature Plugin (dev note, 27 avril 2026).

Dépôt GitHub : [https://github.com/WordPress/presence-api].

Notes dans l’éditeur

Introduites discrètement en 6.9, les Notes (commentaires sur un bloc spécifique, directement dans l’éditeur) sont stabilisées dans cette version. L’objectif est de réduire les allers-retours entre WordPress et les outils tiers (Slack, email, Google Docs) pour les retours éditoriaux.

Connectors API et infrastructure IA

WordPress 7.0 introduit deux couches distinctes pour l’IA :

1. Le WP AI Client, une abstraction dans le core qui permet à n’importe quel plugin ou thème de se connecter à un fournisseur d’IA sans en dépendre directement.
2. La Connectors API, un framework pour enregistrer et gérer les connexions à des services externes. Son premier usage concerne les fournisseurs d’IA, avec une gestion standardisée des clés API, de la découverte de providers et une interface d’administration dédiée.

WordPress 7.0 embarque trois connecteurs intégrés (Anthropic, Google, OpenAI) accessibles depuis la nouvelle page Réglages > Connecteurs. L’installation du plugin correspondant se fait en un clic depuis cette interface. Les clés API peuvent être fournies par variable d’environnement, constante PHP ou via l’interface admin (dans cet ordre de priorité).

Aucun modèle n’est imposé. L’architecture est conçue pour s’étendre au-delà de l’IA dans les versions futures (paiement, réseaux sociaux, etc.).

Une option de configuration centrale permet également de désactiver toutes les fonctionnalités LLM côté core pour les sites qui souhaitent limiter ces intégrations. Le package PHP AI Client est mis à jour (version 1.3.1) dans RC1, et l’outil Site Health affiche désormais une entrée OPCache utile pour le diagnostic des environnements PHP.

A ce sujet retrouvez une analyse détaillée de l’architecture IA dans l’article dédié : WordPress 7.0 : une première intégration prudente de l’IA.

Source : Introducing the Connectors API in WordPress 7.0 (dev note, 18 mars 2026)

Visibilité responsive des blocs

Il est désormais possible d’afficher ou de masquer un bloc selon le type d’appareil (mobile, tablette, desktop) directement depuis l’éditeur. Les contrôles sont disponibles dans la barre d’outils du bloc, l’inspecteur latéral et la Command Palette. Dans la List View, des icônes indiquent les viewports sur lesquels un bloc est masqué.

La visibilité est gérée en CSS (les blocs masqués restent dans le DOM), contrairement à blockVisibility: false qui empêche le rendu côté serveur. Les breakpoints restent fixes dans WordPress 7.0. Leur configuration avec theme.json est arrivée dans WordPress 7.1.

Source : Block Visibility in WordPress 7.0 (dev note, 15 mars 2026)

Nouveaux blocs natifs

• Icons : insertion d’icônes sans plugin tiers
• Breadcrumbs : fil d’Ariane natif, avec des filtres pour personnaliser le rendu (dev note Breadcrumb Block Filters)
• Heading en variation : les niveaux H1 à H6 sont accessibles directement depuis l’inserteur
• Cover avec fond vidéo
• Grid Block responsive
• Navigation revu : modifications de menus plus fiables, overlays personnalisables (dev note)

Est-ce qu’il y aura un thème Twenty Twenty-Six ?

Il est confirmé que WordPress a officiellement fait l’impasse sur un thème Twenty Twenty-Six afin de privilégier le développement de la version 7.0.

Le prochain thème par défaut, baptisé Twenty Twenty-Seven, est d’ores et déjà en cours de développement et sa sortie est officiellement programmée pour accompagner la version 7.2 de WordPress en décembre 2026.

Custom CSS par instance de bloc

Jusqu’à présent, appliquer du CSS à un bloc spécifique nécessitait d’ajouter une classe personnalisée puis de cibler cette classe dans le CSS global. WordPress 7.0 ajoute un champ Custom CSS directement dans le panneau Advanced de chaque bloc. Seules les déclarations CSS sont nécessaires (pas de sélecteur), et le nesting via & est supporté. Le champ n’est visible que pour les utilisateurs disposant de la capacité edit_css.

Source : Custom CSS for Individual Block Instances (dev note, 15 mars 2026)

Traitement des médias côté client

Abandonnée pour WordPress 7.0. Cette fonctionnalité déplaçait la génération des sous-tailles d’images du serveur vers le navigateur, via une bibliothèque WebAssembly (wasm-vips). Les tests communautaires ont révélé des temps de traitement anormalement longs, un bundle trop lourd (~16 Mo) et des erreurs mémoire sur les machines modestes : voir la discussion détaillée. Annulée dès la Beta 6, elle est totalement absente du Field Guide officiel du 14 mai 2026, confirmant qu’elle ne fait pas partie de la version finale.

Interface d’administration

DataViews continue de s’étendre avec un nouveau layout “activité”, des capacités de filtres, tris et recherches améliorées dans les listes (articles, médias, commentaires) sans rechargement de page. Un rafraîchissement visuel global de l’admin accompagne ces changements.

Source : DataViews and DataForms in WordPress 7.0 (dev note, 4 mars 2026)

Command Palette

Une Command Palette est désormais disponible dans l’administration (raccourci ⌘K sur macOS ou Ctrl+K sur Windows/Linux). Elle permet d’accéder rapidement aux actions, recherches et réglages, ce qui facilite la navigation et l’exécution de tâches sans parcourir les menus.

Ce qui change pour les développeurs

WordPress 7.0 apporte de nombreuses modifications à l’API des blocs et aux outils de développement. Voici les points clés issus des dev notes officielles.

Nouvelles block supports

Plusieurs supports sont ajoutés ou étendus :

• dimensions.width / dimensions.height : contrôles de largeur et hauteur en tant que block supports standard, configurables dans block.json et theme.json. Les thèmes peuvent définir des presets de taille via settings.dimensions.dimensionSizes. (Dev note Dimensions)
• customCSS : CSS par instance de bloc, activé par défaut sur tous les blocs, désactivable via "customCSS": false dans block.json. (Dev note Custom CSS)
• textIndent : nouvelle support typographique pour l’indentation de paragraphe, avec gestion “subsequent” (par défaut, seul le paragraphe qui suit un autre est indenté) ou “all”. (Dev note textIndent)
• blockVisibility.viewport : masquage par breakpoint (mobile/tablet/desktop) via les métadonnées du bloc. (Dev note Block Visibility)
• listView : nouvelle déclaration dans les supports qui ajoute un onglet List View dans l’inspecteur du bloc. Recommandé pour les blocs conteneurs.

Pattern Overrides pour blocs personnalisés

Tout attribut de bloc supportant les Block Bindings supporte désormais les Pattern Overrides, y compris les blocs tiers. La limitation aux blocs core est levée. Pour activer la fonctionnalité, utilisez le filtre block_bindings_supported_attributes côté serveur.

Source : Pattern Overrides in WP 7.0 (dev note, 16 mars 2026)

Mode contentOnly étendu

Le mode contentOnly s’applique désormais par défaut aux patterns non synchronisés et aux template parts. Les blocs sans attribut "role": "content" ou "contentRole": true dans leur block.json seront masqués en List View et non sélectionnables dans un conteneur contentOnly. Testez vos patterns pour vérifier que le contenu modifiable reste accessible.

Un réglage disableContentOnlyForUnsyncedPatterns permet de désactiver ce comportement si nécessaire.

Source : Pattern Editing in WordPress 7.0 (dev note, 15 mars 2026)

Compatibilité RTC pour les plugins

Le système de co-édition repose sur Yjs. Pour assurer la compatibilité :

• Migrez les meta boxes vers register_post_meta avec show_in_rest => true
• Dérivez toujours les valeurs d’input depuis le data store WordPress via useSelect, pas depuis un state local React
• Évitez les effets de bord automatiques à l’insertion d’un bloc (ex : modal qui s’ouvre automatiquement), car ils se déclenchent chez tous les collaborateurs connectés

Le filtre sync.providers permet de remplacer le transport HTTP par défaut (ex : WebSocket via y-websocket).

Source : Real-Time Collaboration dev note

Connectors API côté développeur

Les plugins n’ont pas besoin d’enregistrer manuellement un connector s’ils sont déjà intégrés au WP AI Client. La Connectors API découvre automatiquement les providers enregistrés. Trois fonctions publiques sont disponibles après init : wp_get_connector(), wp_get_connectors(), wp_is_connector_registered(). Le hook wp_connectors_init permet de surcharger les métadonnées d’un connecteur existant.

Source : Introducing the Connectors API

Pseudo elements dans theme.json

Le support des pseudo-éléments (::before, ::after) est ajouté pour les blocs et leurs variations dans theme.json.

Source : Pseudo element support (dev note, 9 mars 2026)

Interactivity API

Des changements sont apportés à l’API d’interactivité qui peuvent affecter les plugins l’utilisant.

Source : Changes to the Interactivity API in WordPress 7.0 (dev note, 23 février 2026)

Autres points à tester

• L’éditeur migre progressivement vers une architecture basée sur iframe (application prévue en 7.1). Les plugins qui injectent JS/CSS dans l’éditeur doivent être testés.
• Meilleur support TypeScript et documentation enrichie pour @wordpress/scripts.
• REST API : optimisations de latence et de débit, utiles pour les usages headless.

Après la sortie

WordPress 7.0 est disponible depuis le 20 mai 2026.

Les sites qui restent sur la branche 7.0.x doivent désormais installer WordPress 7.0.4 au minimum. Il s’agit d’une version de sécurité recommandée sans délai, et non d’une mise à jour à différer en attendant les premiers retours. WordPress 7.1 étant désormais disponible, sa migration peut également être préparée après vérification de la compatibilité des thèmes et extensions.

Pour lancer la mise à jour, deux options :

Depuis l’admin : Tableau de bord > Mises à jour > Mettre à jour maintenant.

Via WP-CLI :

wp core update --version=7.0.4

Après la mise à jour, vérifiez vos fonctionnalités critiques, surveillez les logs d’erreur PHP et continuez à maintenir vos plugins et thèmes à jour.

Suivi post-release

WordPress 7.0.4 est disponible depuis le 12 août 2026. Cette version corrige une vulnérabilité permettant à un utilisateur authentifié disposant au minimum du rôle Auteur d’exécuter du code à distance au moyen d’un fichier malveillant, lorsque le site utilise à la fois Imagick et Ghostscript. Le problème est référencé sous les identifiants CVE-2026-65640 et GHSA-8vr3-7mxf-gx8w. WordPress recommande une installation immédiate. Le correctif a aussi été intégré à WordPress 7.1 RC3 avant la sortie de la version stable.

WordPress 7.0.3 est disponible depuis le 6 août 2026. Il s’agit d’une mise à jour de sécurité qui corrige 12 vulnérabilités du cœur de WordPress, sans apporter de nouvelles fonctionnalités. Parmi les correctifs figure notamment une faille XSS réfléchie sur la page de connexion (CVE-2026-64638), ainsi que plusieurs vulnérabilités XSS persistantes pouvant être exploitées par des utilisateurs disposant de droits limités. Tous les sites utilisant WordPress 7.0 sont donc invités à installer cette mise à jour afin de renforcer leur sécurité.

WordPress 7.0.2 est disponible depuis le 17 juillet 2026. Cette version de sécurité corrige deux vulnérabilités :

• CVE-2026-60137, une injection SQL dans le paramètre author__not_in de WP_Query, avec un score CVSS 3.1 de 5,9 sur 10 selon WPScan ;
• CVE-2026-63030, une confusion de route dans le point de terminaison par lots de l’API REST, avec un score CVSS 3.1 de 9,8 sur 10 selon WPScan.

Combinées sur WordPress 7.0.0 ou 7.0.1, ces deux failles peuvent permettre à un attaquant d’exécuter du code à distance. Cloudflare précise que l’exploitation ne nécessite ni authentification ni interaction de l’utilisateur lorsque le site n’utilise pas de cache objet persistant. L’injection SQL affecte WordPress à partir de la version 6.8, tandis que le problème de l’API REST et le risque d’exécution de code concernent les versions 6.9 et suivantes.

Cloudflare a déployé le 17 juillet deux règles WAF qui bloquent les requêtes associées à ces vulnérabilités. Elles s’appliquent aux sites dont le trafic passe effectivement par le proxy et le WAF Cloudflare. L’offre gratuite bénéficie automatiquement du Free Ruleset. Les clients Pro, Business et Enterprise doivent vérifier que les règles gérées sont actives, que leur action reste définie sur le blocage et qu’aucun réglage global ne les fait passer en simple journalisation. Les événements de sécurité peuvent également révéler des requêtes ayant déclenché ces règles.

Cette protection réduit l’exposition pendant le déploiement du correctif, mais ne corrige pas le code vulnérable. Installer WordPress 7.0.2 reste donc la mesure prioritaire. Le 21 juillet 2026, la CISA a ajouté CVE-2026-60137 et CVE-2026-63030 à son catalogue KEV, sur la base de preuves d’exploitation active. Cette inscription confirme l’urgence de la mise à jour. WordPress a également activé les mises à jour forcées via le système automatique pour les sites utilisant une version affectée.

WordPress 7.0.1 est disponible depuis le 9 juillet 2026. Cette version de maintenance corrige 31 bugs dans le Core et l’éditeur de blocs. Les correctifs concernent notamment l’éditeur de blocs, l’interface d’administration et les médias.

La mise à jour peut être lancée depuis Tableau de bord > Mises à jour, ou téléchargée depuis WordPress.org. Sur les sites compatibles avec les mises à jour automatiques en arrière-plan, le passage à WordPress 7.0.4 doit se déclencher automatiquement.

12 août 2026 : WordPress 7.0.4 est disponible. Cette version corrige une vulnérabilité d’exécution de code à distance affectant certaines configurations utilisant Imagick et Ghostscript.

6 août 2026 : WordPress 7.0.3 est disponible. La mise à jour WordPress 7.0.3 corrige 12 failles de sécurité, dont la CVE-2026-64638.

21 juillet 2026 : la CISA ajoute les deux vulnérabilités au catalogue KEV, confirmant leur exploitation active.

17 juillet 2026 : WordPress 7.0.2 est disponible. Cette version corrige une injection SQL et un problème de confusion de route dans l’API REST qui peuvent conduire, lorsqu’ils sont combinés, à une exécution de code à distance.

9 juillet 2026 : WordPress 7.0.1 est disponible. Cette version de maintenance à cycle court apporte 31 corrections. WordPress 7.1 reste programmé pour le 19 août 2026.

1er juillet 2026 : WordPress 7.0.1 RC1 est disponible. Cette version candidate de maintenance apporte uniquement des corrections de bugs, dont le hotfix du ticket #65286. La sortie stable reste attendue le 9 juillet, sous réserve des résultats des tests.

28 mai 2026 : un premier hotfix est disponible pour WordPress 7.0. Il corrige un problème affectant les utilisateurs de l’éditeur classique ayant étendu le panneau de publication des articles afin d’y ajouter des boutons d’action supplémentaires. Ce hotfix est intégré à WordPress 7.0.1 RC1.

Sources et références

Page de release :

• WordPress 7.0 release page (calendrier, release squad, liens)

• WordPress 7.0 RC1 release notes

Dev notes officielles (par ordre chronologique) :

• Changes to the Interactivity API (23 fév.)

• Breadcrumb Block Filters (4 mars)

• Customisable Navigation Overlays (4 mars)

• DataViews and DataForms (4 mars)

• Pseudo Element Support in theme.json (9 mars)

• Real-Time Collaboration in the Block Editor (10 mars)

• Block Visibility (15 mars)

• Custom CSS for Individual Block Instances (15 mars)

• Dimensions Support Enhancements (15 mars)

• New Block Support: textIndent (15 mars)

• Pattern Editing (15 mars)

• Pattern Overrides for Custom Blocks (16 mars)

• Introducing the Connectors API (18 mars)

• Client-side Abilities API in WordPress 7.0 (24 mars)

• Introducing the AI Client in WordPress 7.0 (24 mars)

• Extending the 7.0 Cycle (31 mars)

• The Path Forward for WordPress 7.0 (2 avril)

Annonces :

• WordPress 7.0.4 Release (12 août)
• CISA Adds Four Known Exploited Vulnerabilities to Catalog (21 juillet)
• WordPress 7.0.2 Security Release (17 juillet)
• Cloudflare WAF protects WordPress applications from two high-severity vulnerabilities (17 juillet)
• CVE-2026-60137 / GHSA-fpp7-x2x2-2mjf
• CVE-2026-63030 / GHSA-ff9f-jf42-662q
• WordPress 7.0.1 Maintenance Release (9 juillet)
• WordPress 7.0.1 RC1 is now available (1er juillet)
• WordPress 7.0.1 Release Schedule (18 juin)
• WordPress 7.0 Beta 1 delayed
• WordPress 7.0 RC 1 delayed (19 mars)
• WordPress 7.0 Beta 6 (20 mars)
• WordPress 7.0 Beta 3
• Help Test WordPress 7.0
• WordPress 7.0 Release Candidate 1
• WordPress 7.0 Release Candidate 2