Penyerang sudah mulai menguji celah proses pembaruan inti WordPress yang ditutup lewat versi 7.1.4. Wordfence, penyedia firewall untuk WordPress, mencatat lebih dari 18.500 permintaan yang menyasar jalur sementara pemasang WordPress selama 21 jam pertama pemantauan. Laporan yang beredar pada 29 dan 30 Oktober 2026 itu menunjukkan percobaan serangan, bukan situs yang terbukti berhasil dibobol.
Apa yang dicatat Wordfence
Tim WordPress merilis 7.1.4 pada 28 Oktober. Wordfence memasang aturan firewall untuk celah ini pukul 20:30 UTC hari yang sama, sekitar tiga jam setelah pengumuman rilis. Permintaan pertama yang cocok dengan aturan itu masuk sembilan menit kemudian. Menurut ringkasan Cyber Press dan Cryptika, dua sumber utama memeriksa kelompok kecil situs selama sekitar 14,5 jam, sementara pihak lain mencoba berbagai variasi nama direktori dan versi.
Kabar ini mengubah gambaran di liputan kami sebelumnya tentang WordPress 7.1.4, yang menyebut belum ada laporan serangan. Waktu itu Patchstack menilai kompleksitas serangannya tinggi. Data Wordfence menunjukkan ada pihak yang tetap mencobanya begitu tambalan terbit.
Versi terdampak dan status perbaikan
Celah ini berada di proses pembaruan paket penuh. Versi 4.7 sampai 7.1.3 terdampak, dan perbaikannya ada di WordPress 7.1.4. Perbaikan keamanan juga dibawa ke cabang lama sampai 4.7, antara lain 4.7.39, meski hanya rilis terbaru yang didukung secara aktif. Menurut laporan tersebut, 7.1.4 mengacak nama direktori sementara dan menambah berkas pelindung. Celah ini berskor CVSS 8,1, dilaporkan oleh peneliti Umut Bayram, dan belum memiliki nomor CVE. Rilis yang sama menutup 22 kerentanan secara keseluruhan menurut hitungan Patchstack dan media yang dikutip di atas.
Langkah yang perlu diambil pengelola situs
Pembaruan ke 7.1.4 adalah langkah utama. Jangan berasumsi pembaruan otomatis sudah berjalan, tetapi periksa nomor versi di Dasbor, halaman Pembaruan. Pengelola situs di cabang lama perlu memastikan rilis backport untuk cabangnya sudah terpasang, karena penyebarannya bertahap.
Bagi situs yang sempat terbuka sebelum ditambal, tinjau permintaan ke berkas PHP di bawah wp-content/upgrade, cari akun administrator atau plugin yang tidak dikenal, lalu jalankan pemindaian malware. Pengguna Wordfence disarankan mengaktifkan Extended Protection. Pelanggan Premium, Care, dan Response sudah menerima aturan firewall, sedangkan pengguna versi gratis dijadwalkan menerimanya pada 27 November 2026. Firewall tidak menggantikan pembaruan inti. Pembatasan akses web ke direktori wp-content/upgrade di tingkat server, seperti saran Patchstack, tetap berguna sebagai lapis tambahan.
Sumber: Cyber Press, Daily CyberSecurity, dan WordPress.org. Gambar: WordPress.org.