WordPress 7.1.4 обновляет не движок, а список чужих сертификатов
28 октября WordPress 7.1.4 заменил вложенный набор корневых сертификатов из-за отозванных промежуточных центров eMudhra. Хостовый PHP и системный ca-certificates этот релиз не трогает.
Номер 7.1.4 легко прочитать как «очередная безопасность WordPress, поставим на выходных». Повод конкретный: восемь промежуточных сертификатов eMudhra emSign отозвали, потому что ключ на церемонии 30 апреля 2025 получился слабым. Браузеры им уже не верят. WordPress возит свой список корней для запросов самого сайта: оплаты, обновления, вебхуки. Пока список старый, сайт может поверить собеседнику, которому Chrome на ноутбуке уже не верит. Подробности истории - в заметке про eMudhra.
Обновление WordPress не обновляет PHP. Октябрьские CVE интерпретатора остаются отдельной задачей, и для большинства сайтов на хостинге в Беларуси они срочнее этой. Не обновляет оно и пакет ca-certificates операционной системы, и доверие внутри GitLab Runner или контейнера. Три списка, три обновления. Галочка в админке закрывает один.
Связанные услуги Lexora
Сайт на WordPress, и непонятно, что именно устарело
Разделим версию движка, версию PHP и то, кому сайт ещё верит по HTTPS.