WordPress 7.1 und jetzt?

WordPress 7.1 «Mary Lou» ist in der Nacht auf Mittwoch erschienen. Wenige Stunden vorher hatten wir bereits einen Notfallpatch für JetEngine auf allen betreuten Installationen eingespielt. Zwei Updates an einem Abend, mit gegenteiliger Dringlichkeit: Der JetEngine-Patch musste sofort raus. Beim Sprung auf 7.1 raten wir zu ein paar Tagen Geduld.

Zuerst das Dringende: der JetEngine-Patch

Crocoblock hat am Dienstagabend JetEngine 3.8.14.2 ausgeliefert. Wir haben die Version noch am selben Abend auf allen Kundeninstallationen mit einem Wartungsvertrag aktualisiert.

JetEngine steht seit Monaten unter Beschuss. Die Datenbank von Patchstack listet allein für die letzten Wochen drei Einträge: eine Server-Side Request Forgery in Versionen bis 3.8.11 (22. Juli), Stored Cross-Site-Scripting unterhalb 3.8.12 (2. August) und eine weitere XSS-Lücke bis 3.8.13.1 (3. August). Davor stand im April CVE-2026-42774, eine SQL-Injection bis Version 3.8.8.1 mit einem CVSS-Wert von 9.3.

Das Advisory zum aktuellen Patch ist noch nicht öffentlich. Das ist der Normalfall: Patchstack und die Meldenden lassen den Betreibern eine Karenzfrist, bevor die Details erscheinen. Ein Grund zu warten ist es nicht – im Gegenteil.

Betreust du JetEngine selbst, prüf die Version unter «Plugins → Installierte Plugins». Alles unterhalb von 3.8.14.2 ist zu alt.

Was WordPress 7.1 bringt

Das Release trägt den Namen der Jazzpianistin Mary Lou Williams und erschien am 19. August, am letzten Tag des WordCamp US. Laut Ankündigung stecken über 1500 Verbesserungen und Fehlerbehebungen von mehr als 800 Mitwirkenden darin. Die Neuerungen, die im Alltag am ehesten auffallen:

• Responsive Gestaltung im Site-Editor. Breakpoints für Mobile und Tablet lassen sich in der theme.json anpassen, Layouts direkt in verschiedenen Viewport-Breiten kontrollieren. Für vieles, was bisher Custom-CSS brauchte, gibt es jetzt einen Regler.
• Zustände für Hover, Focus und Active als eigene Steuerung – ebenfalls ohne Umweg über CSS.
• Neuer Medien-Editor. Zuschneiden auf freies Mass oder festes Seitenverhältnis, Drehen, Spiegeln, Metadaten bearbeiten – alles in einem Dialog.
• Bildverarbeitung im Browser. Komprimieren und Skalieren laufen per WebAssembly auf dem Gerät statt auf dem Server, inklusive AVIF, HEIC und HDR-Gain-Maps. Das entlastet vor allem geteilte Hosting-Umgebungen beim Upload grosser Bildmengen.
• Zwei neue Blöcke: Tabs für gegliederte Inhalte und Playlist für Audio, auf Wunsch mit Wellenform.
• Notizen mit Rich Text, @Erwähnungen und Platzierung im Text – gedacht für Redaktionen, die im Editor abstimmen statt per Mail.
• Für Entwicklung: die SVG-Icon-API ist öffentlich, die Abilities-API erhielt filterbare Ausführung und eigene Validierung, dazu kommt ein Design-System mit semantischen Tokens für Admin-Oberflächen.

Abgesagt wurde dagegen die für 7.1 geplante Ausmusterung des Classic-Blocks – am 7. Juli, gut sechs Wochen vor dem Release. Wer noch klassische Inhalte pflegt, hat weiter Zeit.

Und jetzt die Probleme

WP Rocket verursacht einen fatalen Fehler

Das ist der Punkt, der wehtut. Auf jeder von uns betreuten Website, auf der WordPress 7.1 und WP Rocket zusammentrafen, endete das Update mit einem kritischen Fehler – ausnahmslos. Besucher sehen statt der Website nur noch die weisse Seite mit der Meldung «Es gab einen kritischen Fehler auf deiner Website».

Der Blick auf die Versionsstände erklärt, warum. Die aktuellste Ausgabe ist laut Changelog die 3.23.2.1 vom 11. August, also acht Tage vor dem Erscheinen von 7.1. Von WordPress 7.1 ist dort nirgends die Rede. Auf unseren Installationen meldet WordPress am Morgen des 20. August weiterhin kein Update für das Plugin.

Wir sind damit nicht allein: In den einschlägigen Communities kursieren seit dem Release entsprechende Meldungen.

Die einzige Lösung ist derzeit, WP Rocket zu deaktivieren. Das kostet Ladezeit, aber eine langsame Website schlägt eine tote.

Die Beitragslisten im Adminbereich

Weniger dramatisch, dafür breiter gestreut: 7.1 korrigiert einen elf Jahre alten Barrierefreiheits-Fehler (Core-Ticket #32892). In den Listentabellen wird die Checkbox-Spalte von <th> zu <td>, die Titel-Spalte umgekehrt von <td> zu <th scope="row"> und erhält ein aria-label. Screenreader lasen bisher «Alle auswählen» statt des Beitragstitels vor.

Die Korrektur ist überfällig, hat aber eine Nebenwirkung: Plugins und Anpassungen, die per CSS oder JavaScript auf bestimmte Zellen dieser Tabellen zielen, können danach ins Leere greifen. Die grossen SEO-Plugins – Yoast, Rank Math, All in One SEO – sind nach bisheriger Einschätzung nicht betroffen. Eigene Admin-Anpassungen solltest du durchgehen.

Wenn die Website schon weiss ist

Wenn du bereits aktualisiert hast und jetzt vor einem kritischen Fehler stehst:

• WordPress verschickt automatisch eine E-Mail an die Administrator-Adresse, Betreff «Deine Website hat ein technisches Problem». Darin steht ein Link in den Wiederherstellungsmodus.
• Kommt die Mail nicht an – etwa weil der Server keine Mails zustellt –, funktioniert auch der direkte Aufruf von /wp-login.php?action=enter_recovery_mode.
• Im Wiederherstellungsmodus unter «Plugins» WP Rocket deaktivieren, dann den Modus verlassen und die Seite neu laden.
• Führt auch das nicht zum Ziel, hilft der Weg über FTP oder SFTP: den Ordner wp-content/plugins/wp-rocket umbenennen. WordPress deaktiviert das Plugin daraufhin selbst. Achtung: Die Datei wp-content/advanced-cache.php bleibt dabei liegen und kann Fehlermeldungen erzeugen – sie lässt sich gefahrlos löschen.

Unsere Empfehlung: ein paar Tage abwarten

7.1 ist ein Major-Release mit über 1500 Änderungen. Bei dieser Grössenordnung folgen die ersten Korrekturversionen erfahrungsgemäss innerhalb weniger Wochen. Der Vorgängerzweig steht inzwischen bei 7.0.4 – vier Nachbesserungen seit dem Hauptrelease, die letzte am 12. August. Nichts spricht dafür, an Tag eins vorne zu stehen.

Es drängt auch kein Sicherheitsgrund. Wenn du auf 7.0.4 sitzt, hast du das jüngste Sicherheitsrelease drauf und keine bekannte offene Lücke. Offiziell versorgt WordPress allerdings nur den jeweils aktuellsten Zweig; ältere Branches bekommen Patches aus Kulanz. Wer 7.1 monatelang liegen lässt, verliert diesen Schutz. Zwei Wochen kosten nichts.

Konkret heisst das:

• Automatische Hintergrund-Updates des Cores auf Minor-Releases begrenzen, damit 7.1 nicht ungefragt einläuft.
• 7.1 zuerst auf einer Staging-Kopie einspielen und die eigenen Plugins durchgehen – besonders alles, was in den Adminbereich hineingestaltet.
• Bei aktivem WP Rocket auf ein kompatibles Release warten, statt Cache gegen Verfügbarkeit einzutauschen.

Gemeint ist ein späterer Termin, kein Verzicht.

Bei dataloft

Der JetEngine-Patch ist auf allen betreuten Websites eingespielt. Das Update auf WordPress 7.1 haben wir bewusst noch nicht ausgerollt. Wir testen es auf Staging-Kopien und geben es pro Website einzeln frei, sobald die dort eingesetzten Plugins nachgezogen haben. Bei WP Rocket heisst das: sobald ein kompatibles Release vorliegt.

Verwaltest du deine Website selbst, hast heute schon aktualisiert und stehst vor einem kritischen Fehler: Wir sind unter 052 511 05 05 erreichbar.

Was offen bleibt

In unserer eigenen Flotte war der Fehler eindeutig: kein Einzelfall, keine bestimmte Einstellung, sondern die Kombination selbst. Ob das ausserhalb genauso gilt oder ob es Konfigurationen gibt, die durchkommen, wissen wir nicht. Eine öffentliche Stellungnahme von WP Media liegt bis heute Morgen nicht vor. Auch zum JetEngine-Patch 3.8.14.2 ist bisher kein Advisory veröffentlicht – wir tragen die Details nach, sobald sie vorliegen.