Den långsamma vändningen bort från WordPress

WordPress är en av öppen källkods stora framgångar. Det började som ett verktyg för bloggar och växte till programvaran bakom en stor del av webben, gratis att använda, fritt att ändra, med ett ekosystem av teman, tillägg och leverantörer som låter nästan vem som helst publicera.

Som byrå byggde och skötte vi WordPress-webbplatser i många år, och många bra webbplatser körs fortfarande på det. Det här är ingen dödsruna. Men tre saker har förändrats samtidigt, och ett företag som kör sin webbplats på WordPress bör känna till alla tre: andelen har vänt, risken sitter i tilläggen och projektets ledning har ägnat två år åt en konflikt som nu är på väg mot en jury.

Andelen har vänt

W3Techs, som följer tekniken bakom webbplatser, visar att WordPress steg under större delen av ett decennium: från 23,3 procent av alla webbplatser i början av 2015 till 43,2 procent i början av 2022. Sedan planade kurvan ut. Andelen var 43,6 procent i januari 2025 och 43,0 procent i januari 2026. Den 12 oktober 2026 var siffran 40,1 procent.

Det är fortfarande mer än alla andra publiceringssystem tillsammans, och 58,6 procent av de webbplatser vars system W3Techs kan identifiera. Men riktningen är ny. Under samma period växte Shopify från 4,7 till 5,4 procent av alla webbplatser och Wix från 3,3 till 4,2 procent, medan Joomla och Drupal fortsatte att krympa. Sådana mätningar beror på metoden, så riktningen betyder mer än decimalen.

Risken sitter i tilläggen

Själva kärnan i WordPress är i gott skick. Patchstack, ett säkerhetsföretag som följer ekosystemet, räknade bara sex sårbarheter i WordPress kärna 2025, alla med låg prioritet.

Ekosystemet runt omkring är en annan sak. Patchstack räknade 11'334 nya sårbarheter i WordPress 2025, 42 procent fler än 2024. 91 procent fanns i tillägg och 9 procent i teman. För 46 procent av dem hade utvecklaren ingen rättelse klar när bristen offentliggjordes. Och för de brister som angripare gick hårdast åt var mediantiden från offentliggörande till massutnyttjande fem timmar.

Patchstack säljer skydd mot just det här, så dess bild förtjänar den vanliga försiktigheten. Mönstret är ändå strukturellt. En företagswebbplats kör ofta många tillägg från många upphovsmän, var och en med sin egen uppdateringstakt, sin egen kvalitet och sin egen affärsmodell. Vart och ett är kod på den publika servern. Att hålla dem aktuella är ett veckojobb, och de veckor det hoppas över är de veckor som spelar roll.

Två år av turbulens

I september 2024, på konferensen WordCamp US, uppmanade Matt Mullenweg, vd för Automattic och den ledande gestalten i WordPress-projektet, communityn att sluta betala WP Engine, en av de största WordPress-leverantörerna. I ett inlägg som följde kallade han företaget en ”cancer” för WordPress. Mullenweg hade krävt en royalty för användningen av WordPress-varumärket: 8 procent av WP Engines månatliga bruttointäkter.

Den 25 september bannlyste WordPress.org WP Engine från sina resurser, vilket förstörde uppdateringarna av tillägg och teman för några av de webbplatser bolaget drev. I oktober stämde WP Engine Automattic och Mullenweg, och WordPress.org tog över kontrollen av Advanced Custom Fields, ett populärt tillägg som WP Engine underhöll. I december beviljade en federal domare ett interimistiskt föreläggande som återställde WP Engines åtkomst och tillägget.

Det som följde skadade projektet mer än leverantören. I januari 2025 skar Automattic ned sitt utlovade bidrag till WordPress till omkring 45 timmar i veckan, från omkring 2'560, för att lägga resurserna på den juridiska striden. I april sade bolaget upp 16 procent av sin personal, och WordPress meddelade att 6.8 skulle bli den sista stora utgåvan under 2025. I slutet av maj ändrade Automattic kurs och återvände till kärnan. I juni lanserade Linux Foundation FAIR, ett federerat arkiv för tillägg och teman, utformat så att ingen enskild källa kontrollerar uppdateringarna.

Målet är långt ifrån avslutat. Den 24 september 2026 återupptog domaren WP Engines konkurrensrättsliga krav, som hon avvisat ett år tidigare, och fann att Automattic och Mullenweg varken är ägare eller registrerade innehavare av de WordPress-varumärken de gjort gällande. De flesta av Automattics genkäranden består också. En tio dagar lång juryrättegång är utsatt till oktober 2027.

Vad det betyder för ett företag på WordPress

Inget av detta gör en WordPress-webbplats osäker över en natt. En välskött installation med få tillägg, en bra leverantör och en namngiven person som ansvarar för uppdateringarna kan tjäna ett företag i åratal. För en blogg, en liten broschyrsajt eller ett team som kan plattformen väl är det ofta ett förnuftigt val att stanna.

Vad de senaste två åren har visat är beroendet. En webbplats uppdateringar, dess tillägg och förtroendet för dess leveranskedja går genom ett enda arkiv, och under en tid fattades besluten om det arkivet mitt i en kommersiell tvist. Lägg därtill ett ekosystem där nästan hälften av de nya bristerna är offentliga innan de är åtgärdade, och frågan är inte längre om WordPress fungerar. Den är hur mycket av webbplatsen ett företag vill låta vila på delar det inte själv kontrollerar.

Byggda webbplatser med ett CMS ovanpå

Därför flyttar fler företag till byggda webbplatser: en webbplats som kompileras från kod till snabba sidor, med ett publiceringssystem ovanpå för dem som redigerar. Den publika webbplatsen har då inga tillägg och ingen admininloggning att angripa. Varje ändring går genom ett bygge som testas innan det går live. Innehållet ligger i filer som företaget äger, inte i en databas formad av en leverantör.

Avvägningen är verklig. En byggd webbplats kräver utvecklare för nya funktioner, där WordPress har ett tillägg för nästan allt. Och redigeringen måste vara välbyggd, annars saknar marknadsföringsteamet den gamla adminpanelen inom en vecka.

Det är det här problemet Studio gjordes för. Dess kärna är ett CMS ovanpå webbplatser byggda i Next.js, Vite eller TanStack, utan tillägg och utan PHP på den publika webbplatsen. Varje publicering kontrolleras, byggs en gång, testas, läggs ut, verifieras och rullas tillbaka av sig själv om något misslyckas, och varje publicering checkar in innehållet i företagets eget repository. Redaktörer klickar på ett ord för att ändra det och ser den levande sidan. Studio är i tidig åtkomst.

Maskiner kan ta över byggen, testerna och återställningarna. Vad en sida säger, och om den är tillräckligt bra för att gå ut, stannar hos de människor som svarar för den.

Var man ska börja

Räkna dina tillägg och skriv ner vem som underhåller vart och ett, när det senast uppdaterades och vad det gör. Ta bort det som ingen behöver. Se till att varje tillägg, de betalda inräknade, får sina uppdateringar och att en namngiven person kontrollerar dem varje vecka. Exportera ditt innehåll en gång och se om du skulle kunna flytta det om du måste.

Bestäm dig sedan med avsikt. Behåll WordPress där det tjänar dig, med färre delar och en tydlig ägare. Där webbplatsen är central för verksamheten är en byggd webbplats med ett CMS ovanpå värd ett samtal.