WordPress 7.0 RC4, StellarWP og Envato: oppdatering fra WordPress-økosystemet i mai 2026

#Når kommer WordPress 7.0 og hva ble fjernet

Den viktigste tekniske milepælen er WordPress 7.0 RC4, publisert 14. mai 2026, og den tilhørende Field Guide. RC4 betyr at stabil versjon er svært nær, og markerer at tekstene fryses for oversettere. Syklusen viser også en mer pragmatisk utgivelsesprosess enn den tidlige markedsføringen rundt 7.0 antydet.

Sanntidssamarbeid var en av de mest synlige planlagte funksjonene, men ble fjernet fra core i denne utgivelsen. Innlegget fra core-teamet 8. mai sier at Matt Mullenweg tok avgjørelsen fordi han ikke var trygg på at dagens løsning var robust nok. Bekymringene som nevnes er omfang, race conditions, serverbelastning og minnebruk, i tillegg til feil som stadig dukket opp under fuzz-testing. Tidsplanen sto ved lag, og innlegget nevner ingen målversjon for funksjonen, bare en fremtidig utgivelse. Det betyr noe for byråer og nettstedseiere, fordi en release candidate ikke er en ønskeliste. Her teller kompatibilitet, testing og driftsdisiplin mer enn ambisjoner i veikartet.

Stabil utgivelse var planlagt 20. mai 2026. Datoen kom fra en revidert tidsplan publisert 22. april, som erstattet det opprinnelige målet 9. april. Parallelt forberedte WordPress AI-teamet versjon 1.0 av AI-utvidelsen sin til 19. mai, dagen før core. For norske virksomheter med personvernkrav hører Abilities API i core og tilgangskontrollen i utvidelsen sammen.

Før produksjonssetting bør team kontrollere:

• kompatibilitet for tema og plugins,
• egne blokker og oppførsel i editoren,
• arbeidsflyter for WooCommerce, LMS, medlemskap og redaksjon,
• integrasjoner via REST API, WP-CLI eller egne endepunkter.

For komplekse kommersielle nettsteder er oppdatering første dag fortsatt et dårlig standardvalg. Test på staging, sammenlign logger, sjekk forretningskritiske flyter og planlegg deretter produksjonsvinduet.

#Hva WordPress 7.0 Armstrong leverte 20. mai

WordPress 7.0 “Armstrong” kom ut 20. mai 2026, på den reviderte datoen. Kunngjøringen krediterer over 875 bidragsytere, over 200 av dem for første gang, og over 420 forbedringer og rettelser.

For utviklere er det AI-delene som endrer arkitekturen. Field Guide lister opp:

• WP AI Client, et leverandøruavhengig grensesnitt der utvidelser snakker med generative AI-modeller, med modellpreferanser angitt via using_model_preference(),
• Connectors API og en Connectors-side i administrasjonen, der eieren styrer tilkoblinger til eksterne AI-leverandører,
• Client-Side Abilities API, JavaScript-motstykket til Abilities API i PHP, som AI Client også bygger på.

To kompatibilitetsmerknader fra Field Guide hører hjemme på enhver oppdateringssjekkliste. Minste PHP-versjon for core er nå 7.4, så et vertsmiljø med PHP 7.2 eller 7.3 stopper oppdateringen. Editoren kjører nå i en iframe, og Field Guide knytter dette til versjon 3 av blokk-API-et. Eldre egne blokker registrert med en tidligere apiVersion må derfor testes i editoren før oppdateringen når produksjon.

Resten av utgivelsen er arbeid på editor og administrasjon: et nytt fargeskjema kalt “Modern”, visningsoverganger i wp-admin, en hurtigtast for Command Palette, en side for skriftbiblioteket som fungerer i blokk-, hybrid- og klassiske temaer, visuelle revisjoner, synlighet per enhet for blokker, en Breadcrumbs-blokk og blokkregistrering kun med PHP. Bildegenerering, forslag til titler og utdrag og forslag til alternativ tekst er ikke en del av core. De ligger i den separate AI-utvidelsen.

#Hvorfor Liquid Web avvikler StellarWP

At Liquid Web avvikler merkevaren StellarWP er ikke overraskende i seg selv. Etter oppkjøp forenkler større konsern ofte merkevarestrukturen. Kadence, LearnDash, The Events Calendar og Give er mer kjente produktnavn enn paraplymerket.

Primærkilden er Liquid Webs kunngjøring 12. mai 2026. Der står det at Liquid Web by Nexcess samler WordPress-programvaren sin i fire kjerneprodukter: Kadence, LearnDash, The Events Calendar og Give. Navnet StellarWP står ikke i teksten i det hele tatt. Det som kan observeres utenfra: stellarwp.com svarer nå med permanent videresending til liquidweb.com (kontrollert 15. oktober 2026).

Samme innlegg forteller hva som skjer med de mindre merkene. SolidWP, Iconic, Restrict Content Pro og MemberDash selges ikke lenger som egne produkter:

For byråer som forvalter kundenes lisenser er de operative detaljene viktigere enn merkevaren. Ifølge kunngjøringen gjelder eksisterende lisensnøkler fortsatt og endres ikke, dagens planer beholder pris og funksjoner så lenge abonnementet er aktivt, og overgang til ny plan er valgfri, med kreditt for ubrukt periode. Alle produkter ligger nå i én portal på software.liquidweb.com, og gamle portaladresser som my.solidwp.com videresendes dit. Hvis et abonnement utløper, må kunden kjøpe en av de nye planene for å få tilgang igjen. Noen eldre verktøy avvikles: de virker fortsatt, men får bare kritiske sikkerhetsrettelser, og bare frem til april 2027. For Kadence gjelder det blant annet WooCommerce Elementor, WooCommerce Elementor Pro, AMP, Slider Pro og Pricing Table, og de gratis temaene Virtue, Pinnacle og Ascend er ikke lenger tilgjengelige på WordPress.org.

Lærdommen handler om avhengighetsstyring. Når paraplymerket forsvinner raskere enn lisensportalen oppdateres, ringer kundene byrået først. For hver kritisk plugin bør du vite hvem som eier den, hvor ofte den oppdateres, hva som endret seg etter et oppkjøp og hva reserveplanen er hvis produktretningen endres.

#Hvor mye betaler Envato forfattere fra juli 2026

Envatos brudd med den gamle økonomien for eksklusive forfattere er også betydelig. ThemeForest og CodeCanyon definerte på 2010-tallet hvordan WordPress-temaer og mindre plugins ble solgt. Modellen hadde reelle svakheter: tunge temapakker, innlåsing, ujevn support og vanskelige migreringer. Likevel ga den mange virksomheter en rask vei til markedet.

Kunngjøringen i Envatos Author Hub beskriver endringen. Fra 1. juli 2026 fjerner Envato Market kravet om eksklusivitet helt, avskaffer skillet mellom eksklusive og ikke-eksklusive kontoer og flytter alle forfattere til et forfattergebyr på 50 prosent: forfatteren får 50 prosent av vareprisdelen av listeprisen. Envato sier rett ut at dette betyr lavere inntekter for eksklusive forfattere. For ikke-eksklusive forfattere synker gebyret fra 55 til 50 prosent. Den nye satsen vises første gang i utbetalingen 15. august, og endringene står i seksjon 9 og 13 i Envato Market Author Terms. Envato begrunner grepet med markedsforholdene og skriver at den nye modellen ligger nærmere Envato Elements, som fortsatt er selskapets hovedsatsing.

Tidspunktet passer inn i et lengre mønster. Da Shutterstock fullførte oppkjøpet av Envato i juli 2024, fremhevet pressemeldingen 650 000 Envato-abonnenter og Envato Elements, uten å nevne Envato Market eller forfatterne der.

Den nye inntektsmodellen gjør Envato mindre attraktiv som eksklusivt hjem for forfattere. Flere produktteam vil trolig bygge egne salgskanaler, dokumentasjonssider, private lisenssystemer og GitHub-baserte utviklingsløp. Envato åpner selv for dette: en forfatter kan selge samme vare på Market og i egen nettbutikk eller på andre markedsplasser. For kjøpere betyr det flere valg, men også mer egen kontroll.

Det praktiske spørsmålet er ikke lenger “er denne varen populær på en markedsplass?”. Det er “kan denne leverandøren vedlikeholde produktet, gi tydelig support og holde det kompatibelt med stacken vi kjører?”

#CERN flytter 800 nettsteder til WordPress

CERN kunngjorde i 2025 at organisasjonen tar i bruk WordPress som fremtidig CMS. Sesjonsbeskrivelsen fra WordCamp Europe 2026 oppgir migreringen til over 800 nettsteder, flyttet automatisk til en tilpasset WordPress-tjeneste. Det er skalaen norske byråer sjelden viser i case-studier, men ofte møter i anbud og sikkerhetsvurderinger.

På WordCamp Europe 2026 i Kraków åpnet CERNs Web Manager Joachim Valdemar Yde og plattformingeniør Francisco Borges Aurindo Barros konferanseprogrammet 5. juni med Two worlds collide: WordPress at CERN, den første sesjonen etter åpningsordene. Foredraget handlet om styring, bygging av infrastruktur og den automatiserte migreringen. For europeiske byråer er dette en nyttig referanse når en kunde spør om WordPress fortsatt hører hjemme i “seriøse” infrastruktursamtaler. Det vanskelige er ikke å velge core. Det er roller, redaksjonelle arbeidsflyter, flerspråklig styring og oppdateringspolicy på tvers av hundrevis av nettsteder.

#Hvordan setter du tillatelser for AI-agenter i WordPress

Den viktigste AI-nyheten handler ikke om tekstgenerering. Den handler om infrastruktur.

WordPress AI-utvidelsen (tidligere AI Experiments) kom i versjon 0.9.0 7. mai med eksperimentet Comment Moderation, som vurderer kommentarer med sentimentanalyse og giftighetsdeteksjon og merker dem for gjennomgang, eksperimentet Content Resizing og kommandoen wp ai alt-text generate for alternativ tekst i bulk. Versjon 1.0.0 fulgte 19. mai med to styringseksperimenter: Request Logging lar administratorer gå gjennom AI-forespørsler og svar, og Connector Approvals lar administratorer bestemme hvilke utvidelser som får bruke de konfigurerte AI-koblingene. WooCommerce beveger seg mot Abilities API og MCP-adapter. Retningen er tydelig: AI-agenter skal ikke bare lese data, men utføre kontrollerte handlinger med eksplisitte tillatelser.

For kommersielle prosjekter gir det praktiske spørsmål:

• hvem som betaler for tokenbruk,
• hvilke data som kan forlate WordPress,
• hvordan agenthandlinger logges,
• når menneskelig godkjenning er påkrevd,
• hvordan lesetilgang skilles fra handlinger som endrer ordrer, produkter eller innhold.

Det er her seriøst WordPress-utviklingsarbeid ligger i 2026. Verdien er ikke enda en chatbot. Verdien er å utforme tillatelser, revisjonsspor, kostnadskontroll og pålitelige driftsgrenser.

#Hva gir WooCommerce 10.8 og 10.9 for AI-agenter

WooCommerce-utviklerbloggen beskrev handelssiden 12. mai. WooCommerce 10.9 innfører kanoniske abilities for produkter og ordrer:

• woocommerce/products-query, woocommerce/product-create, woocommerce/product-update, woocommerce/product-delete,
• woocommerce/orders-query, woocommerce/order-update-status, woocommerce/order-add-note.

Hver ability har sin egen permission_callback som går gjennom WooCommerce sin eksisterende tilgangsmodell, og skjemavalideringen avviser ukjente felt før noe kjøres. WooCommerce vedlikeholder ingen egen MCP-implementasjon. Den pakker med den offisielle pakken wordpress/mcp-adapter, som gir en MCP-klient tre verktøy: finne abilities, hente informasjon om en ability og kjøre en ability. Den eldre REST-baserte MCP-betaen på /wp-json/woocommerce/mcp blir værende som en utfaset overgangsvei og fjernes i en fremtidig versjon. Innlegget oppga 23. juni 2026 som planlagt lanseringsdato for 10.9.

Oppdatering, 23. oktober 2026: fjerningen har nå et versjonsnummer. Utviklerbloggen til WooCommerce skrev 21. oktober at WooCommerce 11.3 fjerner /wp-json/woocommerce/mcp og slutter å pakke med wordpress/mcp-adapter. Butikker kobler AI-klienter gjennom utvidelsen MCP Adapter og et applikasjonspassord i WordPress i stedet for en REST API-nøkkel fra WooCommerce. Skal den samme agenten også nå en Shopify-butikk eller en egen backend, se utvikling av MCP-servere.

WooCommerce 10.8.0 kom 26. mai, en uke senere enn planlagt for å gi rom rundt lanseringen av WordPress 7.0. Den innførte et GraphQL-API med egen innstillingsdel, og forhåndsnotatene til 10.8 advarte om at funksjonen fortsatt var under arbeid.

For nettbutikker er den praktiske testen ikke demo-chatboter. Det er om produktoppslag, statusendringer på ordrer og notater kan eksponeres med eksplisitte tillatelser og revisjonslogger før noen agent får skrivetilgang. Listen over er et godt utgangspunkt for den gjennomgangen: query-abilities leser, alle andre skriver.

#Sikkerhetsvarsler for Avada og Burst Statistics

Nylige varsler om Avada Builder og Burst Statistics viser det samme mønsteret fra ulike vinkler. Populære WordPress-verktøy tiltrekker angripere, og én kompromittert administratorkonto kan ramme mange nettsteder samtidig.

• Burst Statistics: Wordfence publiserte CVE-2026-8181 13. mai, en kritisk omgåelse av autentisering (CVSS 9.8) i versjon 3.4.0 til 3.4.1.1 av en utvidelse med over 200 000 aktive installasjoner. En uautentisert angriper som kjenner et administratorbrukernavn kunne opptre som denne administratoren under en REST API-forespørsel og i verste fall opprette en ny administratorkonto. Leverandøren leverte versjon 3.4.2 12. mai, én dag etter at rapporten kom inn.
• Avada Builder: Wordfence sin sårbarhetsdatabase viser 12. mai en uautentisert SQL-injeksjon (CVE-2026-4798) og vilkårlig fillesing for innloggede brukere (CVE-2026-4782), og 20. mai uautentisert fjernkjøring av kode (CVE-2026-6279, CVSS 9.8) i versjoner til og med 3.15.2. Alle er merket som rettet.

Ikke alle sikkerhetsnyheter var negative. GravityKit innførte kryptografisk pakkesignering for sitt kommersielle sortiment. Ifølge den tekniske oversikten signeres hver pakke ved bygging med Ed25519 over en SHA-256-hash av ZIP-filen, og det delte biblioteket Foundation verifiserer signaturen på hooken upgrader_pre_download, før WordPress pakker ut noe. GravityView 2.57 er det første produktet med verifiseringen, og et signert tilbakekallingsmanifest lar GravityKit ugyldiggjøre en kompromittert nøkkel. Det er fortsatt sjelden i kommersielle WordPress-utvidelser og et spørsmål norske enterprise-kunder stiller etter supply chain-hendelser.

Vedlikehold i 2026 kan ikke bety “trykk oppdater og håp”. Det krever flerfaktorautentisering, separate operatørkontoer, staging for oppdateringer, overvåking av administratoraktivitet og en liste over kritiske plugins med tydelig eierskap.

Overskriftstrenden er AI, men den operative virkeligheten er fortsatt sikkerhet. Et nettsted med eksperimentelle agentarbeidsflyter og svak kontokontroll er ikke moderne. Det er eksponert.

#Påvirker Divi 5 ytelsen og gir det page builder lock-in

Elegant Themes erklærte Divi 5 klar for produksjon i utgivelsesnotatene for Divi 5.6 fra 25. mai 2026, som sier at betafasene er over. De samme notatene har rettelser for konvertering fra Divi 4 til Divi 5, blant annet tilfeller der Backward Compatibility Mode forble aktiv etter migreringen. Et nytt rammeverk fjerner ikke innlåsing i temaet, men endrer ytelsesdiskusjonen for nettsteder som fortsatt bygger tungt på Divi, og enhver migrering trenger en kontroll av de konverterte oppsettene side for side.

Envatos provisjonsendringer i mai presser flere forfattere mot direktesalg. Hvis du veier native blokker mot kommersielle byggere, se Gutenberg vs. Elementor vs. Divi i 2026 for revisjonsmatrisen jeg bruker i kundeprosjekter.

#Slik forbereder du WordPress-nettstedet på 7.0

Mai-oppdateringen peker mot et mer fragmentert, men mer kapabelt WordPress-økosystem. Core blir mer forsiktig med utgivelseskvalitet. WooCommerce forbereder seg på agentorienterte arbeidsflyter. Markedsplassene mister noe av sin gamle tyngde. Produktkonsern samler merkevarer etter oppkjøp. Store institusjoner som CERN satser på WordPress i stor skala. Sikkerhet avgjør fortsatt om en stack er profesjonelt vedlikeholdt.

For nettstedseiere er dette ingen grunn til panikk. Det er en grunn til å behandle WordPress som en plattform, ikke en engangsinstallasjon. Fornuftige neste steg er staging for 7.0 med kontroll av PHP-versjon, en gjennomgang av hvem som eier pluginene, lisenskontroll for alle avhengigheter fra ThemeForest eller CodeCanyon og én kontrollert AI-arbeidsflyt med målbar verdi.

#Guide til WordPress 7.0 og AI-integrasjon

Denne artikkelen er en oversikt over økosystemet. For Abilities API, MCP-adaptere og implementeringsdetaljer, se den komplette guiden til WordPress 7.0 og AI-integrasjon.