A mais recente ronda de notícias do WordPress não é uma coleção aleatória de atualizações de produto. Maio de 2026 mostra várias tendências antigas a tornarem-se operacionais: o WordPress 7.0 está perto do lançamento, a IA entra na infraestrutura, a economia dos marketplaces muda e a segurança dos plugins volta a mostrar a diferença entre um stack mantido e um stack frágil.
Em março escrevemos sobre WordPress 7.0, quota de mercado e pressão da IA. Esta atualização é mais estreita e prática. A pergunta já não é se a IA vai influenciar o WordPress. Ela já aparece no planeamento das versões, nas APIs do WooCommerce, no empacotamento de produtos e na gestão de risco.
Atualização de 15 de outubro de 2026: voltámos a verificar cada ponto abaixo na fonte primária (wordpress.org, make.wordpress.org, o blogue do próprio fornecedor ou o aviso dos investigadores de segurança). Retirámos os pontos que não conseguimos ligar a uma fonte primária e corrigimos os números que a fonte primária indica de outra forma.
Data de lançamento do WordPress 7.0 e funcionalidades retiradas
O marco técnico principal é o WordPress 7.0 RC4, publicado a 14 de maio de 2026, com o respetivo Field Guide. O RC4 significa que a versão estável está muito próxima e marca o congelamento das cadeias de texto para os tradutores. O ciclo mostra também um processo de lançamento mais pragmático do que o marketing inicial do 7.0 sugeria.
A colaboração em tempo real era uma das funcionalidades previstas mais visíveis, mas foi retirada do core nesta versão. A publicação da equipa core de 8 de maio explica que a decisão foi de Matt Mullenweg, por não estar convencido de que a abordagem atual fosse suficientemente robusta. As preocupações listadas são a superfície de alterações, as condições de corrida, a carga no servidor e a eficiência de memória, além de erros que continuavam a surgir nos testes de fuzzing. O calendário manteve-se e a publicação não indica versão de destino para a funcionalidade, apenas uma versão futura. Para agências e proprietários de sites isto importa, porque uma release candidate não é uma lista de desejos. É o momento em que a compatibilidade, os testes e a disciplina operacional contam mais do que a ambição do roadmap.
A versão estável estava prevista para 20 de maio de 2026. Essa data veio de um calendário revisto publicado a 22 de abril, que substituiu o objetivo original de 9 de abril. Em paralelo, a equipa WordPress AI preparava a versão 1.0 do seu plugin de IA para 19 de maio, um dia antes do core. Para projetos sujeitos ao RGPD, Abilities API no core e os controlos do plugin devem ser avaliados em conjunto.
Antes de passar para produção, as equipas devem verificar:
- a compatibilidade do tema e dos plugins,
- os blocos personalizados e o comportamento do editor,
- os fluxos de WooCommerce, LMS, membros e edição,
- as integrações que usam REST API, WP-CLI ou endpoints próprios.
Em sites comerciais complexos, atualizar no primeiro dia continua a ser uma má opção por defeito. Teste em staging, compare registos, verifique os fluxos críticos para o negócio e só depois planeie a janela de produção.
O que o WordPress 7.0 Armstrong trouxe a 20 de maio
O WordPress 7.0 “Armstrong” saiu a 20 de maio de 2026, na data revista. O anúncio reconhece mais de 875 contribuidores, mais de 200 deles pela primeira vez, e mais de 420 melhorias e correções.
Para quem desenvolve, são as peças de IA que mudam a arquitetura. O Field Guide enumera:
- WP AI Client, uma interface independente do fornecedor através da qual os plugins comunicam com modelos de IA generativa, com preferências de modelo declaradas via
using_model_preference(), - Connectors API e um ecrã Connectors no painel, onde o proprietário gere as ligações a fornecedores externos de IA,
- Client-Side Abilities API, o equivalente em JavaScript da Abilities API em PHP, na qual o AI Client também assenta.
Duas notas de compatibilidade do Field Guide devem estar em qualquer lista de atualização. A versão mínima de PHP para o core passa a ser 7.4, por isso um alojamento com PHP 7.2 ou 7.3 bloqueia a atualização. O editor passa a funcionar dentro de um iframe, e o Field Guide associa isso à versão 3 da API de blocos, pelo que blocos personalizados antigos registados com um apiVersion anterior têm de ser testados no editor antes de a atualização chegar à produção.
O resto da versão é trabalho no editor e no painel: um novo esquema de cores “Modern”, transições de vista no wp-admin, um atalho de teclado para a Command Palette, uma página de biblioteca de tipos de letra que funciona em temas de blocos, híbridos e clássicos, revisões visuais, visibilidade de blocos por dispositivo, um bloco Breadcrumbs e registo de blocos apenas com PHP. A geração de imagens e as sugestões de títulos, excertos e texto alternativo não fazem parte do core. Estão no plugin de IA separado.
Por que razão a Liquid Web retirou a marca StellarWP
Que a Liquid Web retire a marca StellarWP não surpreende por si só. Depois de aquisições, os grupos maiores costumam simplificar a arquitetura de marcas. Kadence, LearnDash, The Events Calendar e Give são nomes de produto mais reconhecidos do que a marca-mãe.
A fonte primária é o anúncio da Liquid Web de 12 de maio de 2026. Segundo ele, a Liquid Web by Nexcess concentra o seu software para WordPress em quatro produtos principais: Kadence, LearnDash, The Events Calendar e Give. O nome StellarWP não aparece no texto. O que se observa de fora: stellarwp.com responde agora com um redirecionamento permanente para liquidweb.com (verificado a 15 de outubro de 2026).
A mesma publicação explica o que acontece às marcas menores. SolidWP, Iconic, Restrict Content Pro e MemberDash deixaram de ser vendidos como produtos autónomos:
| Produto anterior | Onde estão agora as funcionalidades |
|---|---|
| SolidWP | Kadence Security, dentro do Kadence |
| Iconic | Kadence Shop Kit, dentro do Kadence |
| Restrict Content Pro | Kadence Memberships, dentro do Kadence |
| MemberDash | LearnDash |
Para as agências que gerem licenças de clientes, os detalhes operacionais contam mais do que a marca. Segundo o anúncio, as chaves de licença existentes continuam válidas e não mudam, os planos atuais mantêm preço e funcionalidades enquanto a subscrição estiver ativa, e a mudança para um plano novo é opcional, com crédito pelo tempo não utilizado. Todos os produtos estão agora num único portal, software.liquidweb.com, e os endereços antigos como my.solidwp.com redirecionam para lá. Se uma subscrição expirar, é preciso comprar um dos planos novos para recuperar o acesso. Algumas ferramentas antigas estão a ser retiradas: continuam a funcionar, mas só recebem correções de segurança críticas, e apenas até abril de 2027. No Kadence a lista inclui WooCommerce Elementor, WooCommerce Elementor Pro, AMP, Slider Pro e Pricing Table, e os temas gratuitos Virtue, Pinnacle e Ascend deixaram de estar disponíveis no WordPress.org.
A lição é de gestão de dependências. Quando a marca-mãe desaparece mais depressa do que o portal de licenças é atualizado, os clientes ligam primeiro para a agência. Para cada plugin crítico, convém saber quem é o proprietário, com que frequência publica versões, o que mudou depois de uma aquisição e qual é o plano alternativo se a direção do produto mudar.
Quanto paga a Envato aos autores a partir de julho de 2026
O abandono do antigo modelo económico para autores exclusivos da Envato também é relevante. O ThemeForest e o CodeCanyon definiram, na década de 2010, a forma como se vendiam temas WordPress e plugins mais pequenos. Esse modelo tinha falhas reais: temas pesados com tudo incluído, dependência, suporte desigual e migrações difíceis. Ainda assim, deu a muitas empresas um caminho rápido para o mercado.
O anúncio no Author Hub da Envato descreve a mudança. A partir de 1 de julho de 2026, a Envato Market elimina por completo o requisito de exclusividade, acaba com a distinção entre contas exclusivas e não exclusivas e passa todos os autores para uma comissão de 50%: o autor recebe 50% da componente de preço do artigo dentro do preço de tabela. A Envato admite abertamente que isto significa menos receita para os autores exclusivos. Para os não exclusivos, a comissão desce de 55% para 50%. A nova taxa aparece pela primeira vez no pagamento de 15 de agosto, e as alterações constam das secções 9 e 13 dos Envato Market Author Terms. A Envato justifica a mudança com as condições do mercado e afirma que o novo modelo fica mais próximo do Envato Elements, que continua a ser o seu foco principal.
O momento encaixa num padrão mais longo. Quando a Shutterstock concluiu a compra da Envato em julho de 2024, o seu comunicado de imprensa destacou 650 mil subscritores da Envato e o Envato Elements, sem mencionar a Envato Market nem os seus autores.
O novo modelo de receita torna a Envato menos atrativa como casa exclusiva para os autores. É provável que mais equipas de produto criem canais de venda direta, centros de documentação, sistemas de licenciamento próprios e fluxos de desenvolvimento baseados em GitHub. A própria Envato já o permite: um autor pode vender o mesmo artigo na Market e na sua própria loja ou noutros marketplaces. Para quem compra, isso significa mais escolha, mas também mais diligência.
A pergunta prática já não é “este artigo é popular num marketplace?”. É “este fornecedor consegue manter o produto, dar-lhe suporte claro e mantê-lo compatível com o stack que usamos?”
CERN migra 800 sites para WordPress
O CERN anunciou em 2025 que adota o WordPress como o seu futuro CMS. A descrição da sessão no WordCamp Europe 2026 situa a migração em mais de 800 sites, transferidos de forma automatizada para um serviço WordPress personalizado. É o tipo de programa que a maioria das agências nunca mostra no seu marketing, mas que reconhece de imediato em concursos e reuniões de governação.
No WordCamp Europe 2026, em Cracóvia, o Web Manager do CERN Joachim Valdemar Yde e o engenheiro de plataforma Francisco Borges Aurindo Barros abriram o programa da conferência a 5 de junho com Two worlds collide: WordPress at CERN, a primeira sessão depois das boas-vindas. A palestra abordou a governação, o desenvolvimento da infraestrutura e a migração automatizada. Para as agências europeias é uma referência útil quando um cliente pergunta se o WordPress ainda tem lugar em conversas “sérias” sobre infraestrutura. O difícil não é escolher o core. São os papéis, o fluxo editorial, a governação multilingue e a política de atualizações em centenas de sites.
Como definir permissões de agentes de IA no WordPress
A notícia de IA mais importante não é sobre geração de texto. É sobre infraestrutura.
O plugin WordPress AI (antes AI Experiments) lançou a versão 0.9.0 a 7 de maio com a experiência Comment Moderation, que avalia comentários com análise de sentimento e deteção de toxicidade e os assinala para revisão, a experiência Content Resizing e o comando wp ai alt-text generate para gerar texto alternativo em massa. A versão 1.0.0 chegou a 19 de maio com duas experiências de governação: Request Logging, que permite aos administradores rever os pedidos e as respostas de IA, e Connector Approvals, que permite aos administradores decidir que plugins podem usar os conectores de IA configurados. O WooCommerce avança para Abilities API e fluxos com adaptador MCP. A direção é clara: os agentes de IA não devem apenas ler dados do site, mas executar ações controladas com permissões explícitas.
Em projetos comerciais, isto levanta perguntas práticas:
- quem paga o consumo de tokens,
- que dados podem sair do WordPress,
- como são registadas as ações do agente,
- quando é obrigatória a aprovação humana,
- como se separa o acesso só de leitura das ações que alteram encomendas, produtos ou conteúdo.
É aqui que está o trabalho sério de engenharia WordPress em 2026. O valor não está em juntar mais um chatbot. Está em desenhar permissões, registos de auditoria, controlo de custos e limites operacionais fiáveis.
O que trazem o WooCommerce 10.8 e 10.9 para agentes de IA
O blogue de programadores do WooCommerce descreveu o lado do comércio a 12 de maio. O WooCommerce 10.9 introduz abilities canónicas para produtos e encomendas:
woocommerce/products-query,woocommerce/product-create,woocommerce/product-update,woocommerce/product-delete,woocommerce/orders-query,woocommerce/order-update-status,woocommerce/order-add-note.
Cada ability tem o seu próprio permission_callback, que passa pelo modelo de permissões existente do WooCommerce, e a validação do esquema rejeita campos desconhecidos antes de qualquer execução. O WooCommerce não mantém uma implementação MCP própria: inclui o pacote oficial wordpress/mcp-adapter, que dá a um cliente MCP três ferramentas: descobrir abilities, obter informação sobre uma ability e executar uma ability. A beta MCP anterior, derivada de REST, em /wp-json/woocommerce/mcp, fica como caminho de transição obsoleto e será removida numa versão futura. A publicação indicava 23 de junho de 2026 como data prevista para o 10.9.
Atualização, : a remoção já tem número de versão. O blog de programadores do WooCommerce escreveu a 21 de outubro que o WooCommerce 11.3 remove /wp-json/woocommerce/mcp e deixa de incluir o pacote wordpress/mcp-adapter. As lojas ligam os clientes de IA através do plugin MCP Adapter e de uma palavra-passe de aplicação do WordPress, em vez de uma chave da REST API do WooCommerce. Se o mesmo agente também tiver de chegar a uma loja em Shopify ou a um backend próprio, consulte desenvolvimento de servidores MCP.
O WooCommerce 10.8.0 saiu a 26 de maio, uma semana mais tarde do que o previsto para dar margem ao lançamento do WordPress 7.0. Introduziu uma API GraphQL com a sua própria secção de definições, e as notas prévias do 10.8 avisavam que a funcionalidade ainda estava em desenvolvimento.
Para as lojas, o teste prático não são chatbots de demonstração. É saber se as consultas de produtos, as mudanças de estado das encomendas e as notas podem ser expostas com permissões explícitas e registos de auditoria antes de um agente receber acesso de escrita. A lista acima é um bom ponto de partida para essa revisão: as abilities de consulta leem, todas as outras escrevem.
Alertas de segurança Avada e Burst Statistics
Os alertas recentes sobre o Avada Builder e o Burst Statistics mostram o mesmo padrão de ângulos diferentes. As ferramentas populares do WordPress atraem atacantes, e uma única conta de administrador comprometida pode afetar muitos sites ao mesmo tempo.
- Burst Statistics: a Wordfence publicou a CVE-2026-8181 a 13 de maio, um contorno de autenticação crítico (CVSS 9.8) nas versões 3.4.0 a 3.4.1.1 de um plugin com mais de 200 000 instalações ativas. Um atacante não autenticado que conhecesse um nome de utilizador de administrador podia agir como esse administrador durante um pedido à REST API e, no pior caso, criar uma nova conta de administrador. O fornecedor lançou a versão 3.4.2 a 12 de maio, um dia depois de receber o relatório.
- Avada Builder: a base de dados de vulnerabilidades da Wordfence regista a 12 de maio uma injeção SQL sem autenticação (CVE-2026-4798) e uma leitura arbitrária de ficheiros por utilizadores autenticados (CVE-2026-4782), e a 20 de maio uma execução remota de código sem autenticação (CVE-2026-6279, CVSS 9.8) em versões até à 3.15.2. Todas estão marcadas como corrigidas.
Nem todas as notícias de segurança foram negativas. A GravityKit introduziu a assinatura criptográfica de pacotes na sua suite comercial. Segundo a descrição técnica, cada pacote é assinado na compilação com Ed25519 sobre um hash SHA-256 do ficheiro ZIP, e a biblioteca partilhada Foundation verifica a assinatura no hook upgrader_pre_download, antes de o WordPress descompactar o que quer que seja. O GravityView 2.57 é o primeiro produto com o verificador, e um manifesto de revogação assinado permite à GravityKit invalidar uma chave comprometida. Continua a ser raro em plugins comerciais de WordPress, e é o tipo de controlo que os clientes enterprise pedem depois do próximo título sobre a cadeia de fornecimento.
Em 2026, a manutenção não pode significar “carregar em atualizar e esperar”. Exige autenticação multifator, contas de operador separadas, staging para as atualizações, monitorização da atividade de administração e uma lista de plugins críticos com responsáveis claros.
A tendência dos títulos é a IA, mas a realidade operacional continua a ser a segurança. Um site com fluxos de agentes experimentais e controlos de contas fracos não é moderno. Está exposto.
Divi 5, desempenho e lock-in do page builder
A Elegant Themes declarou o Divi 5 pronto para produção nas notas da versão Divi 5.6 de 25 de maio de 2026, que dão por terminadas as fases beta. As mesmas notas incluem correções para a conversão do Divi 4 para o Divi 5, incluindo casos em que o Backward Compatibility Mode ficava ativo depois da migração. Um framework novo não elimina a dependência do tema, mas muda a conversa sobre desempenho nos sites que continuam assentes no Divi, e qualquer migração precisa de uma verificação dos layouts convertidos página a página.
As mudanças de comissão da Envato em maio empurram mais autores para a venda direta. Se está a comparar blocos nativos com construtores comerciais, veja Gutenberg vs Elementor vs Divi em 2026 para a matriz de auditoria que usamos em projetos de clientes.
Como preparar um site WordPress para a versão 7.0
A atualização de maio aponta para um ecossistema WordPress mais fragmentado, mas mais capaz. O core torna-se mais cauteloso com a qualidade das versões. O WooCommerce prepara-se para fluxos orientados a agentes. Os marketplaces perdem parte do seu antigo peso. Os grupos de produto consolidam marcas depois de aquisições. Grandes instituições como o CERN apostam no WordPress em escala. E a segurança continua a decidir se um stack é mantido de forma profissional.
Para os proprietários de sites, isto não é motivo de pânico. É motivo para tratar o WordPress como uma plataforma e não como uma instalação pontual. Os próximos passos sensatos são staging para o 7.0 com verificação da versão de PHP, uma revisão de quem é responsável por cada plugin, a verificação das licenças de quaisquer dependências do ThemeForest ou do CodeCanyon e um único fluxo de IA controlado com valor mensurável.
Guia do WordPress 7.0 e integração de IA
Este artigo é um resumo do ecossistema. Para Abilities API, adaptadores MCP e detalhes de implementação, veja o guia completo do WordPress 7.0 e integração de IA.
