WordPress 7 : faut-il mettre à jour ? Votre site y est peut-être déjà passé

Depuis la version 5.6, sortie fin 2020, toute nouvelle installation de WordPress passe seule d’une version majeure à la suivante, sauf réglage contraire. Certains hébergeurs installent aussi ces versions eux-mêmes. La version 7.1, publiée le 19 août, équipait 62 % des sites WordPress moins de deux mois plus tard (statistiques de wordpress.org).

La question « faut-il passer à WordPress 7 ? » est donc peut-être déjà tranchée pour vous. Deux autres comptent davantage : quelqu’un a-t-il vérifié que votre site fonctionne toujours, et sur quelle version de PHP, le langage de programmation qu’utilise WordPress, tourne-t-il ?

Où en est WordPress 7, mi-octobre 2026

La version 7.0 devait sortir le 9 avril 2026. Elle est arrivée le 20 mai, après un report lié à la collaboration en temps réel (plusieurs personnes qui écrivent le même article en même temps), finalement abandonnée pour cette version. Une seconde version majeure et une série de versions de sécurité ont suivi.

Le numéro 7.0 n’annonce pas une mise à jour plus lourde que la 6.9. WordPress compte ses versions majeures de dixième en dixième, si bien que passer de 6.9 à 7.0 est une mise à jour de même nature que passer de 7.0 à 7.1. Les versions à trois chiffres, comme 7.1.3, sont des versions de maintenance et de sécurité.

Votre site est-il déjà passé à WordPress 7 ?

En bas à droite de chaque page de l’administration, « Version 7.1.3 » signale un site à jour. Si vous lisez « Obtenir la version 7.1.3 », une mise à jour vous attend, et votre version actuelle figure dans le bloc « D’un coup d’œil » du tableau de bord. L’écran Mises à jour (menu Tableau de bord) indique aussi comment votre site reçoit les nouvelles versions :

• « Ce site est automatiquement mis à jour avec chaque nouvelle version de WordPress. » : il passera seul à la version 7.2, dès sa sortie ;
• « Ce site est automatiquement mis à jour avec uniquement les versions de maintenance et de sécurité de WordPress. » : les versions majeures attendent votre clic ;
• « Ce site ne recevra pas de mise à jour automatique pour les nouvelles versions de WordPress. » : WordPress n’installe plus rien seul, pas même les correctifs de sécurité. C’est normal si un service de maintenance s’en charge à sa place. Sinon, un réglage fait par vous, par un prestataire ou par l’hébergeur a coupé ces mises à jour.

Ce passage automatique a ses ratés. Sur le forum d’OVHcloud, une personne raconte que la mise à jour automatique de son site, installé « en 1 clic », a échoué le 20 août, au lendemain de la sortie de 7.1. Elle ne s’en est aperçue que douze jours plus tard, en voulant corriger une page : le message d’erreur critique s’affichait à la place de l’administration (la discussion). Si c’est votre cas, notre article sur l’erreur 500 explique comment remettre en place les fichiers de WordPress après une mise à jour interrompue.

Faut-il rester en 6.9 par prudence ?

On conseille parfois d’attendre quelques semaines avant d’installer une version majeure. Cette année, cette prudence n’a protégé personne. Le 17 juillet, WordPress 7.0.2 a corrigé une chaîne de failles, surnommée « wp2shell » par la presse, qui permettait de prendre le contrôle d’un site sans y avoir de compte. WPScan l’a notée 9,8 sur 10. La version 6.9 était touchée elle aussi, et la menace était assez sérieuse pour que wordpress.org impose la mise à jour aux sites concernés (annonce officielle, en anglais). Rester en 6.9 ne protégeait donc de rien.

Les versions précédentes reçoivent encore les correctifs de sécurité. Le 6 octobre, la 6.9.10 est sortie le même jour que la 7.1.3. Mais WordPress rappelle dans ses annonces qu’il ne les y reporte que « par courtoisie », et ce report peut traîner sur les versions les plus anciennes. Fin mars, la 6.0 attendait toujours les correctifs de la 6.9.2, d’après le bilan publié par l’équipe de WordPress (cité plus bas).

Le rythme s’est aussi emballé, avec six versions de sécurité en moins de trois mois. L’équipe de sécurité l’attribue à la hausse des signalements, portée selon elle par les progrès de l’intelligence artificielle (son explication, en anglais).

Une version de sécurité peut aussi casser un site

Le 10 mars 2026, la version de sécurité 6.9.2 a rendu blanches les pages publiques de certains sites, dont le thème chargeait ses modèles d’une façon particulière. WordPress a publié la version 6.9.3 environ huit heures plus tard pour réparer ces pages, puis la 6.9.4 le lendemain, parce que trois des dix correctifs de sécurité n’avaient pas été appliqués (bilan officiel, en anglais). Ces versions de sécurité s’installent automatiquement, par défaut, sauf si ce mécanisme a été coupé.

Notre guide « Site cassé après une mise à jour » décrit ce que WordPress vérifie ensuite, ce qu’il laisse passer, et comment revenir en arrière.

L’échéance qui compte : votre version de PHP

PHP a ses propres versions, et chacune cesse un jour de recevoir des correctifs de sécurité, que WordPress fonctionne avec elle ou non. Votre version de PHP figure dans l’écran Santé du site (menu Outils), onglet « Informations », rubrique « Serveur ».

D’après les statistiques de wordpress.org au 18 octobre 2026, 36,6 % des sites WordPress tournent déjà sur une version de PHP privée de tout correctif de sécurité. Nous le constatons aussi : en septembre 2026, plusieurs des sites que nous surveillons tournaient encore en PHP 7.4. Au 1er janvier 2027, PHP 8.2 sera à son tour privé de correctifs, et la part passera à 60,5 % si personne ne bouge.

Changer de version de PHP sans casser le site

Une extension trop ancienne peut faire tomber le site dès que la version de PHP change. Ce changement se prépare.

1. Sauvegardez tout, fichiers et base de données, juste avant.
2. Mettez d’abord à jour extensions et thème, tant que votre PHP actuel le permet. Ce sont les versions anciennes des extensions qui ne fonctionnent plus avec une version récente de PHP. Une extension abandonnée depuis des années, ou développée sur mesure il y a longtemps, est la première suspecte.
3. Changez la version dans l’espace client de votre hébergeur, d’abord sur une copie de test du site s’il en propose une. Chez OVHcloud, un fichier .ovhconfig placé dans le dossier d’un site peut lui imposer sa propre version, ce qui explique parfois que l’espace client affiche PHP 8.3 alors que WordPress en voit une autre.
4. Contrôlez aussitôt vos pages importantes, vos formulaires, votre panier, puis l’écran Santé du site. Si une erreur critique s’affiche, notre article sur l’erreur critique aide à trouver l’extension en cause.
5. En cas de problème, rien n’est perdu, car changer de version de PHP n’efface ni vos contenus ni votre base de données. Revenez à l’ancienne version depuis le même espace client, le temps de trouver l’extension en cause, et pas plus de quelques jours, car cette ancienne version ne reçoit peut-être plus de correctifs. Certains hébergeurs interdisent d’ailleurs ce retour vers une version qui n’est plus sûre.

Ce qui change pour vous dans WordPress 7

• Les couleurs de l’administration changent pour tous ceux qui avaient gardé le jeu de couleurs par défaut. Pour retrouver l’ancienne apparence, choisissez « Fresh » dans Comptes, puis Profil, rubrique « Jeu de couleurs de l’administration ».
• Une palette de commandes, ouverte avec Ctrl+K (⌘K sur Mac), permet de trouver un écran ou une action au clavier.
• Les polices se gèrent dans Apparence, puis Polices, y compris avec un thème classique, c’est-à-dire un thème qui n’utilise pas l’éditeur de site.
• Les inscriptions sont mieux encadrées. Administrateur et Éditeur ne sont plus proposés comme « Rôle par défaut de tout nouveau compte », et l’écran Santé du site signale une « Inscription ouverte avec un rôle par défaut ayant des privilèges ». Un réglage déjà en place n’est pas corrigé pour autant : vérifiez-le dans Réglages, puis Général (voir aussi comment savoir si un site est piraté).
• Depuis 7.1, l’éditeur d’articles fonctionne d’une nouvelle façon, quel que soit le thème. Certaines extensions anciennes qui le modifient peuvent ne plus marcher. Essayez-les après la mise à jour.
• Les Notes, ces commentaires internes laissés sur un paragraphe ou une image de l’éditeur, acceptent depuis 7.1 les mentions d’un membre de l’équipe, avec @.

L’intelligence artificielle de WordPress 7 et votre clé d’accès

L’écran Réglages, puis Connecteurs, permet de relier WordPress à trois fournisseurs d’intelligence artificielle : Anthropic, Google et OpenAI. Il faut une clé d’accès chez l’un d’eux, et les fonctions visibles (titres, extraits, textes qui décrivent les images) passent par une extension à installer en plus.

Si vous franchissez le pas, la clé saisie dans cet écran est enregistrée sans aucun chiffrement dans la base de données. Le projet WordPress le reconnaît lui-même. Ces clés se retrouvent dans chaque copie de la base, chaque sauvegarde, chaque site de test, et si une clé est volée, c’est vous qui payez ce que le voleur consomme avec (sa proposition de correction, en anglais).

Il existe déjà une parade. WordPress cherche la clé dans le fichier wp-config.php, lu à chaque affichage de page, avant de la chercher dans la base. Demandez à la personne qui gère votre site d’y ajouter une ligne comme define( 'OPENAI_API_KEY', 'votre-clé' );, ou gardez d’abord une copie du fichier, car une faute de frappe suffit à bloquer le site. La clé quitte alors la base et ses copies, mais reste dans les sauvegardes complètes. Fixez donc aussi un plafond de dépense chez le fournisseur.

Bloquer les versions majeures sans couper la sécurité

Si vous tenez à décider vous-même du passage à 7.2, ne coupez pas tout. Le lien « Basculer sur les mises à jour de maintenance et de sécurité uniquement. », sur l’écran Mises à jour, garde les correctifs de sécurité et vous laisse décider des versions majeures. La ligne define( 'WP_AUTO_UPDATE_CORE', false );, que l’on croise parfois, coupe au contraire toutes les mises à jour automatiques de WordPress, y compris celles de sécurité.

Et ne laissez pas une version majeure en attente indéfiniment. Sur l’ancienne version, votre site ne reçoit plus que les correctifs de sécurité que WordPress accepte d’y reporter, sans engagement. Quel que soit votre choix, WordPress le rappelle sur ce même écran : « Avant de procéder aux mises à jour, veuillez sauvegarder votre base de données et vos fichiers. »

Ce qui est prévu pour WordPress 7.2

La version 7.2 est attendue le 8 décembre 2026, avec une première version de test annoncée pour le 20 octobre. Son programme, que l’équipe de WordPress présente comme une liste d’intentions et non de promesses (feuille de route, en anglais), comprend :

• une nouvelle demande de mot de passe avant les actions sensibles (le « mode sudo ») ;
• un stockage chiffré des clés d’accès, dont celles des connecteurs d’IA ;
• un mode suggestion et des réactions dans les Notes ;
• Ipsum, un nouveau thème par défaut, qui abandonne les noms d’année (Twenty Twenty-Five…) ;
• des blocs Liste de descriptions et Table des matières.

Questions fréquentes

Quelle est la version actuelle de WordPress ?

La version 7.1.3, publiée le 6 octobre 2026.

WordPress 7 exige-t-il PHP 8.3 ?

Non. Le minimum est PHP 7.4, et PHP 8.3 est seulement recommandé. Un site en PHP 7.2 ou 7.3 reste sur WordPress 6.9, et l’écran Mises à jour l’explique : « Vous ne pouvez pas mettre à jour car WordPress 7.1.3 nécessite PHP version 7.4 ou plus. »

Pourquoi mon site n’est-il pas passé à WordPress 7 tout seul ?

Peut-être parce qu’il a été installé avant WordPress 5.6 : sur ces sites, chaque version majeure s’installe à la main. Autres causes possibles :

• une version de PHP trop ancienne ;
• un réglage dans wp-config.php ;
• un site géré avec un outil de suivi des versions, ce que WordPress signale ainsi : « Ce site semble être sous contrôle de version. Les mises à jour automatiques sont désactivées. » ;
• un espace disque plein, qui fait échouer les mises à jour, par exemple avec le message « Impossible de copier le fichier. » ;
• l’échec grave d’une mise à jour automatique précédente, après lequel WordPress cesse de retenter seul.

WordPress 7 envoie-t-il mes contenus à une intelligence artificielle ?

Pas de lui-même : il faut une clé d’accès chez un fournisseur et une extension qui s’en serve. Vérifiez en revanche vos extensions, dont certaines ont leurs propres fonctions d’IA, réglées à part.