Ing. Calogero Bono
WordPress 7.1.4 adalah rilis keamanan yang keluar pada 28 Oktober, dan di dalamnya ada perbaikan untuk celah yang memungkinkan eksekusi kode di server saat pembaruan inti berlangsung. CISA Amerika Serikat telah mengonfirmasi bahwa kerentanan CVE-2026-119977 ini sudah dieksploitasi dan masuk ke katalog KEV. Ini penting karena serangannya tidak membutuhkan akun di situs. Kalau kamu mengelola situs WordPress, pembaruan ini tidak boleh ditunda.
Beberapa istilah sebelum kita masuk ke fakta-faktanya. CVE adalah kode yang mengidentifikasi kerentanan yang sudah diketahui. TOCTOU (time-of-check time-of-use) adalah race condition, yaitu cacat ketika sesuatu berubah di antara proses pemeriksaan dan penggunaan sebuah sumber daya. RCE berarti eksekusi kode dari jarak jauh. KEV adalah katalog CISA berisi kerentanan yang sudah terbukti dieksploitasi. XSS stored adalah skrip berbahaya yang tersimpan di situs dan ditampilkan kepada pengunjung.
Apa itu celah CVE-2026-119977?
Menurut pengumuman resmi WordPress, ini adalah kelemahan pada proses pembaruan yang dapat mengarah ke eksekusi kode dari jarak jauh selama jendela upgrade. Laporannya berasal dari Umut Bayram, peneliti di Picus Security.
Seperti dilaporkan BleepingComputer, masalahnya muncul dari penggunaan jalur staging yang dapat diprediksi dan bisa diakses dari web selama pembaruan inti penuh. Tingkat keparahannya tinggi, dengan skor CVSS 8.1 menurut The Hacker News, dan kompleksitas serangannya tergolong tinggi.
Seberapa jauh celah ini benar-benar dieksploitasi?
CISA telah menambahkan celah ini ke katalog KEV dan memerintahkan lembaga federal sipil untuk memperbaikinya paling lambat 6 November 2026. Lembaga itu juga mengimbau perusahaan swasta untuk memprioritaskan patch.
Angka-angkanya berasal dari Wordfence, jadi ini adalah klaim dari sebuah perusahaan keamanan. BleepingComputer melaporkan 13.095 serangan yang diblokir dalam 24 jam. The Hacker News menyebut lebih dari 18.500 permintaan ke path «setup-config.php» dalam 21 jam pertama dan 12.632 serangan yang diblokir dalam jendela 24 jam lainnya. Previdian mencatat tiga percobaan terhadap honeypot-nya pada 30 Oktober.
Apa lagi yang diperbaiki WordPress 7.1.4?
Rilis ini tidak hanya soal upgrade. Daftar resmi mencakup beberapa celah XSS stored di blok dan fungsi inti.
- blok Categories, blok Playlist dan gambar, blok paginasi komentar
- Interactivity API, dengan beberapa XSS dan satu kasus denial of service
- Customizer, dengan satu XSS dan terungkapnya changeset yang belum dipublikasikan oleh pengguna anonim
- permintaan penghapusan data pribadi dan nama pengguna yang dibuat secara sengaja
Juga diperbaiki adalah pembacaan catatan oleh pengguna berhak istimewa tanpa izin edit, serta sertifikat root yang diperbarui karena pencabutan eMudhra.
Mengapa 2026 menjadi tahun yang sulit bagi inti WordPress?
Menurut BleepingComputer, pada Juli tim keamanan memperbaiki rangkaian wp2shell, yang terdiri dari kebingungan pada rute batch REST API (CVE-2026-63030) dan SQL injection (CVE-2026-60137). Exploit publiknya muncul sehari setelah patch.
Pada September, seorang aktor berbahasa Mandarin menggunakan rangkaian ini untuk mencuri data dari lebih dari 18.500 rekord database bisnis kecil dan organisasi publik. Kejadian ini menunjukkan betapa singkatnya waktu antara patch dan serangan. Untuk pendalaman, panduan keamanan WordPress kami menjelaskan pertahanan dasarnya.
Batasan yang perlu kamu ketahui
Kami tidak tahu siapa di balik serangan ini atau berapa banyak situs yang sudah disusupi. CISA tidak memberikan detail tentang eksploitasinya, dan data serangan yang diblokir berasal dari Wordfence, dengan rentang waktu yang berbeda antar sumber. Perbaikan untuk cabang lama, hingga 4.7, masih dalam proses dan akan dirilis begitu siap.
Apa yang berubah bagi kamu yang bekerja di dunia digital
Perbarui sekarang ke 7.1.4 lewat menu Pembaruan di Dashboard, kalau pembaruan otomatis belum berjalan. Jika kamu belum punya prosedurnya, strategi kami untuk memperbarui tanpa merusak situs adalah titik awal yang baik. Bagi kamu yang mengelola banyak situs klien, periksa juga situs yang sering terlupakan. Firewall seperti yang dibandingkan dalam panduan plugin keamanan membantu, tetapi tidak menggantikan patch.
Pendapat kami
Bagian yang paling mengganggu adalah celah ini justru menyerang mekanisme yang seharusnya melindungi kita. Memperbarui adalah pertahanannya, tetapi selama proses pembaruan ada jendela risiko yang terbuka. Sisi positifnya, tim keamanan merespons dengan cepat. Sisi negatifnya, ritme tahun 2026 sangat padat, dengan rangkaian exploit di bulan Juli dan celah lain yang dieksploitasi di bulan Oktober. Orang yang memperlakukan pembaruan sebagai pekerjaan kalau ada waktu luang sedang bertaruh melawan angka-angka ini.
Pertanyaan yang sering diajukan
Apa saja yang diperbaiki WordPress 7.1.4?
Ada perbaikan untuk celah eksekusi kode dalam proses pembaruan dan beberapa XSS stored. Termasuk juga perbaikan untuk satu kasus denial of service dan pembaruan sertifikat root.
Apakah celah CVE-2026-119977 membutuhkan akun?
Tidak. Menurut Wordfence, seperti dilaporkan sumber-sumber tadi, tidak diperlukan akun apa pun. Namun penyerang harus memanfaatkan jendela singkat selama pembaruan inti penuh berlangsung.
Kapan WordPress 7.2 dirilis?
Dijadwalkan pada 8 Desember. Beta 3 sudah tersedia dan berisi perbaikan yang relevan.
Apakah versi lama juga mendapat patch?
Sebagian, ya. Perbaikan di-backport ke semua cabang yang memenuhi syarat hingga 4.7 dan akan dirilis begitu siap. WordPress mengingatkan bahwa hanya versi terbaru yang didukung secara aktif.
Apakah aturan CISA berlaku juga untuk perusahaan Indonesia?
Tidak, tenggat 6 November hanya berlaku untuk lembaga federal Amerika Serikat. Namun CISA juga mengimbau sektor swasta untuk memprioritaskan patch ini.
Hal yang perlu dipantau dalam beberapa minggu ke depan di WordPress
Patch sudah tersedia, tetapi perhatian sekarang beralih ke cabang lama dan beta 7.2. Periode paling berisiko adalah ketika exploit beredar dan situs belum diperbarui.
- Pantau kedatangan backport untuk versi lama yang masih kamu gunakan, lalu rencanakan migrasinya.
- Periksa log server dan cari permintaan ke path instalasi seperti setup-config.php.
- Ikuti catatan rilis Beta 3 dan 7.2, yang dijadwalkan 8 Desember, sebelum memperbarui di produksi.
