117. O MCP Adapter já está disponível como plugin no repositório

Já podes ligar-te remotamente ao WordPress a partir da tua ferramenta de inteligência artificial, de forma nativa, com o plugin MCP Adapter.

Transcrição do programa

Olá, sou José Freitas e estás a ouvir o WPpodcast, com as notícias semanais da comunidade WordPress.

Neste episódio, encontras a informação de 5 a 11 de outubro de 2026.

Quinto conjunto de correções de segurança para a versão 7.1 em apenas dois meses: o WordPress 7.1.3 corrige sete vulnerabilidades e quatro erros, com a recomendação de atualizar imediatamente.

Nenhuma parece tão grave como a execução remota de código corrigida na versão 7.1.2, mas a lista é variada:

• uma vulnerabilidade de XSS persistente no ecrã de administração de comentários, explorável através de comentários pendentes;
• uma vulnerabilidade de negação de serviço em make_absolute_url;
• uma injeção de SQL de segunda ordem na exportação WXR;
• e uma falha que permitia a utilizadores com o papel de Autor colocar artigos em destaque.

A estas juntam-se a divulgação, sem autenticação, de comentários em artigos privados ou não publicados, uma vulnerabilidade de XSS em conteúdos incorporados do Imgur e uma colisão de nomes de ações num hook. As correções estão a ser aplicadas retroativamente até ao ramo 4.7, e tudo isto está em linha com o que a Core Security Initiative relatou sobre a vaga de denúncias de vulnerabilidades impulsionada por ferramentas de IA.

Calendário das sessões de lançamento da versão 7.2

Entretanto, já existe um calendário das sessões de lançamento da versão 7.2, cujo lançamento está previsto para 8 de dezembro. A Beta 1 chega a 20 de outubro; seguem-se três versões candidatas a lançamento, a partir de 17 de novembro, e um ensaio geral a 7 de dezembro, com um período de 24 horas sem alterações ao código.

Três grandes mudanças no Core do WordPress 7.2: HTML, SQL e revisão das normas de CSS.

A mais importante é a reescrita da função kses, que tem filtrado o HTML de artigos de origem não fidedigna ao longo de toda a história do WordPress.

A implementação original é anterior ao HTML5 e remonta à época em que se escrevia HTML à mão. Hoje, a sua finalidade é quase exclusivamente eliminar riscos de segurança, pelo que a nova versão passa a usar a API de HTML do WordPress, em vez de expressões regulares e cadeias de funções.

A interface não muda, nem é necessário alterar plugins ou temas, mas o comportamento muda perante dados de entrada invulgares:

• o HTML é normalizado, com etiquetas em minúsculas, atributos entre aspas e referências a caracteres reescritas;
• os elementos <script> e <style> não permitidos são removidos juntamente com o respetivo conteúdo, em vez de deixarem código solto no ecrã;
• e os fragmentos incompletos são truncados antes do ponto de ambiguidade.

Na base de dados, o WordPress 7.2 acrescenta NO_BACKSLASH_ESCAPES à lista de modos SQL não suportados. Com esse modo ativo, o MySQL trata a barra invertida como um carácter normal, e as consultas com valores que usam caracteres de escape podem falhar ou devolver dados incorretos. Alguns fornecedores de alojamento ativam-no, o que provocava problemas muito difíceis de diagnosticar. A partir de agora, ao estabelecer a ligação, o WordPress desativa-o apenas para essa sessão, sem alterar a configuração global do servidor, e a maioria dos sites não notará qualquer diferença.

A terceira mudança é mais pequena: há uma proposta para atualizar as normas de escrita de CSS do Core, de modo a integrar o Stylelint, já utilizado no Gutenberg, e verificar automaticamente o seu cumprimento.

As duas alterações relevantes são:

• usar uma única linha em branco entre secções e blocos, uma vez que a regra atual não distingue os dois casos;
• e evitar a propriedade order e os valores reverse.

Plugin AI com feeds em Markdown

Já está disponível a versão 1.4.0 do plugin AI. A novidade que mais chama a atenção é a funcionalidade experimental de feeds em Markdown: quando está ativa, o site disponibiliza uma versão do seu conteúdo em Markdown em /feed/markdown/, e qualquer artigo ou página também pode ser solicitado nesse formato. Destina-se a agentes de IA e ferramentas que funcionam melhor com Markdown do que com HTML renderizado.

A moderação de comentários passa a incluir uma pontuação de valor, de 0 a 1, que mede o contributo de um comentário para o artigo em que é publicado. É um indicador adicional, a par da toxicidade e do sentimento: um comentário pode ser perfeitamente educado e não acrescentar nada.

Além disso, a tradução de conteúdos passa a abranger mais nove idiomas de destino e permite repetir uma tradução que tenha falhado sem reiniciar o processo. A geração de texto alternativo passa também a respeitar a opção que identifica uma imagem como decorativa no bloco Imagem.

Para a versão 1.5.0, estão anunciadas a conversão de texto em voz, sugestões de ligações internas, a integração com o editor de multimédia do Gutenberg, o controlo de acesso por papel e por utilizador e a rastreabilidade de conteúdos com C2PA. Estão também previstas capacidades de escrita para conteúdos, utilizadores, termos e multimédia, em linha com o modelo CRUD discutido para a versão 7.2.

Plugin MCP Adapter

O MCP Adapter, o componente que traduz as capacidades do WordPress, as Abilities, para o protocolo MCP, para que assistentes como o Claude ou o ChatGPT as possam descobrir e utilizar, chega finalmente ao diretório de plugins do WordPress.org com a versão 0.7.0.

Até agora, era necessário descarregá-lo do GitHub ou incluí-lo como dependência do Composer, o que o colocava fora do alcance da maioria dos utilizadores e obrigava cada plugin a gerir as suas próprias cópias e conflitos. Depois de instalado, disponibiliza um servidor MCP predefinido com três ferramentas básicas, expõe automaticamente qualquer Ability pública do site e permite aos programadores criar os seus próprios servidores com ferramentas, recursos e prompts personalizados. Ainda assim, fornece apenas a infraestrutura de servidor: não inclui um cliente MCP nem uma interface para um fluxo de trabalho completo com agentes.

O mais revelador é a explicação para continuar a ser um plugin, em vez de integrar o Core: a especificação MCP continua a mudar, com uma atualização importante que quebrou a compatibilidade há menos de três meses, e isso entra em conflito com o calendário de distribuição em larga escala e com o compromisso do WordPress com a retrocompatibilidade.

Como plugin canónico, pode acompanhar o ritmo do protocolo, e outros plugins podem depender dele sem manter cópias duplicadas ou desatualizadas, graças às dependências entre plugins e à instalação automática. A versão 0.7.0 acrescenta suporte para a nova especificação sem estado, de julho de 2026, mantendo a ligação de clientes que usam versões anteriores. A própria equipa continua a classificá-lo como experimental, com o objetivo de chegar a uma versão 1.0 estável com base no feedback dos programadores.

Equipa de Acessibilidade trabalha a etiqueta accessibility-ready

A equipa de Acessibilidade mudou de rumo na questão dos temas com a etiqueta accessibility-ready, que temos vindo a acompanhar. Foi anunciado que o trabalho para tornar a etiqueta condicional no diretório de temas está quase concluído. Para quem publica temas, o essencial é que nenhum tema voltará a ser removido do diretório por não cumprir os requisitos da etiqueta, que pedi-la não atrasará a aprovação do tema e que esse pedido passará a ser tratado como um pedido de inclusão na listagem correspondente. Ainda falta algum trabalho de configuração, pelo que a alteração dos temas que aparecem associados à etiqueta fica um pouco adiada.

É um desfecho bastante diferente da ameaça de remoção a partir de 1 de outubro que a equipa tinha anunciado em julho, e corresponde à solução já esboçada nos comentários dessa publicação: fazer a etiqueta depender de uma aprovação registada no diretório, e não apenas do ficheiro style.css do tema, para que a equipa a possa retirar diretamente sem ter de remover o tema inteiro. A própria equipa apresenta esta mudança como um reforço da confiança: ao poder retirar a etiqueta aos temas que não cumprem os requisitos, o seu valor como indicador de fiabilidade aumenta consideravelmente.

Comunidade analisa mudanças nos sites de eventos

A equipa de Comunidade levanta um problema frequente: quando um evento termina, o seu site fica parado no tempo, com um programa de datas passadas, um botão de compra de bilhetes que já não funciona e uma contagem decrescente presa no zero, precisamente quando mais pessoas podem procurar informação. A proposta, válida para WordCamps, Campus Connect ou qualquer evento WordPress, é transformar o site numa página de balanço do evento sem o reconstruir de raiz, reorganizando o conteúdo para passar do anúncio do evento ao relato do que aconteceu e ao convite para continuar a participar.

A abordagem tem quatro partes:

• fotografias com ligação para a galeria completa, com os créditos de cada fotógrafo e a licença de reutilização;
• apresentações com título, orador, slides em PDF e ligação para o WordPress.tv, publicando primeiro os diapositivos e acrescentando os vídeos quando estiverem prontos;
• um convite bem visível para participar no meetup local, talvez a parte mais importante, já que quem visita o site depois do evento demonstrou interesse;
• e uma secção com resumos, testemunhos e artigos escritos sobre o evento.

A proposta está a ser posta em prática no site do WordCamp Costa Rica 2026, que decorreu a 18 e 19 de setembro e cujo site continua em transformação. Sugere-se também acrescentar esta tarefa à lista de verificação após o evento. Os benefícios vão desde manter o site útil durante meses e reconhecer o contributo de oradores, fotógrafos e voluntários até criar um arquivo para a próxima equipa de organização e mostrar a futuros patrocinadores os resultados do evento.

Noutra frente, há uma proposta para criar um enquadramento estável para algo que já funcionou três vezes: a participação de estudantes nos grandes WordCamps.

Começou como uma experiência no WordCamp US 2025, ganhou força no WordCamp Asia 2026 e teve um momento marcante no WordCamp Europe 2026, onde estudantes de duas universidades e de uma escola secundária de Cracóvia subiram ao palco para apresentar os sites que tinham criado ao longo do ano. Nesse evento, foi também introduzida uma modalidade de patrocínio para permitir a participação de estudantes que concluíram o programa WPCredits. O seu impacto foi além da sala de sessões: fizeram voluntariado, participaram no Contributor Day, partilharam a sua experiência numa sessão e saíram com vontade de continuar. A ideia de fundo é criar um percurso de participação: cada estudante que constrói um site ou apresenta o seu trabalho pode vir a contribuir para o projeto, organizar eventos ou criar plugins.

A proposta é um modelo simples e replicável, a testar em 2027, começando pelo WordCamp Asia, com quatro componentes:

• uma ou duas pessoas de cada equipa de organização que façam a ligação à equipa de Educação;
• um a três espaços reservados no programa, sem formato fixo, que podem ir do palco principal a um workshop ou ao Contributor Day;
• vias de acesso a patrocínio ou a apoio para deslocações, porque chegar ao evento continua a ser a maior barreira para estudantes de outros países;
• e prazos flexíveis, já que os calendários académicos não coincidem com os prazos das candidaturas para oradores.

São também propostas algumas métricas comuns, como o número de estudantes, a participação no Contributor Day e quantos continuam envolvidos ao fim de três ou seis meses. A proposta apela ainda à adesão dos WordCamps locais, uma vez que costumam ser a primeira porta de entrada.

BuddyPress 15.0 foi adiado

O BuddyPress 15.0 foi adiado para 19 de janeiro de 2027. A preparação desta versão tem demorado mais do que o previsto, e as datas já tinham sido alteradas anteriormente: o WordPress 7.2 está previsto para 8 a 10 de dezembro, pelo que este adiamento dá margem para testar o BuddyPress com a versão estável do WordPress sem que o lançamento final coincida com a época festiva.

O plano prevê uma versão beta a 15 de dezembro, data a partir da qual não serão acrescentadas novas funcionalidades, e uma versão candidata a lançamento a 5 de janeiro, a partir da qual os textos a traduzir ficarão fechados. Entre as duas haverá três semanas, devido às festas. É um ponto de partida, não um limite: se os testes o exigirem, haverá outra beta ou outra versão candidata a lançamento, e as datas são objetivos, não garantias.

A componente mais importante deste lançamento é a versão 2 da API REST, e a equipa quer dar aos programadores tempo para compreenderem as alterações antes de testarem a beta. A ideia é publicar, uma semana antes, a 8 de dezembro, uma introdução à API, um aviso sobre as funcionalidades descontinuadas e um guia para quem utiliza o plugin autónomo BP REST API. A equipa avisa, no entanto, que a documentação por concluir não impedirá o lançamento. A compatibilidade com o WP-CLI e outras integrações da equipa serão também revistas antes da versão final.

WP Day for AI Faro 2026 é esta semana

O WordPress Day for AI Faro 2026 decorre no sábado, dia 24. O evento é encarado como o primeiro grande evento oficial da comunidade WordPress exclusivamente dedicado à inteligência artificial. Há duas tracks: uma mais dedicada aos programadores e técnicos, outra para quem procura fazer crescer o seu negócio utilizando as ferramentas de inteligência artificial e o WordPress.

Há sessões em português e em inglês e formatos variados. A maioria das sessões dura meia hora e há algumas mais curtas e diretas ao assunto. Está ainda prometido um evento especial.

Estes são os últimos dias para comprar bilhete.

Por fim, este podcast é distribuído sob uma licença Creative Commons, como versão derivada do podcast em espanhol. Podes encontrar todas as ligações para mais informações e o podcast noutros idiomas em WPpodcast .org.

Obrigado por ouvires e até ao próximo episódio.