Badan keamanan siber Amerika Serikat, CISA, menambahkan CVE-2026-119977 ke katalog Known Exploited Vulnerabilities (KEV) pada 3 November 2026. Celah ini ada di inti WordPress, bukan di plugin atau tema, dan menyangkut cara WordPress menyiapkan berkas saat melakukan upgrade paket penuh. CISA menyebut ada bukti eksploitasi aktif, dan batas perbaikan bagi lembaga federal Amerika jatuh pada 6 November 2026.
Bagaimana celah ini bekerja
Jenisnya race condition (CWE-367). Saat upgrade paket penuh berjalan, WordPress menaruh berkas sementara di folder wp-content/upgrade, termasuk salinan berkas pemasang. Penyerang yang tidak punya akun bisa mencoba mengakses salinan itu selama jendela waktu yang sempit, lalu menjalankan kode PHP di server. Wordfence, yang menerbitkan CVE ini sebagai CNA, memberi skor CVSS 8,1 (tinggi) dengan kompleksitas serangan tinggi karena bergantung pada waktu. Tim keamanan WordPress sendiri menilainya rendah.
Versi terdampak adalah WordPress 4.7 sampai 7.1.3. WordPress.org mencatat perbaikan masuk dalam rilis 7.1.4 pada 28 Oktober 2026, bersama 21 celah lain yang sebagian besar berupa stored XSS. Pelapor yang dikreditkan untuk celah upgrade ini adalah Umut Bayram. Perbaikan juga dibackport, antara lain ke 7.0.8, 6.9.11, 6.8.12, dan 6.7.11. Cabang 4.6 ke bawah tidak lagi menerima pembaruan keamanan.
Seberapa serius serangannya
Wordfence mencatat lebih dari 18.500 permintaan yang menyasar jalur pemasang sementara dalam 21 jam pertama. Angka itu adalah percobaan, bukan pembobolan yang terbukti. Ulasan Rescana menyebut CISA maupun Wordfence belum mengonfirmasi satu pun situs yang berhasil dikuasai, dan belum ada pelaku yang diatribusikan secara publik. Sumber lain melaporkan angka percobaan yang lebih tinggi, tetapi angka itu belum bisa dicocokkan dengan laporan Wordfence sendiri, jadi sebaiknya dibaca sebagai perkiraan.
Ini bukan kali pertama pemilik situs WordPress dipaksa bergerak cepat. Beberapa hari sebelumnya, plugin CryptoPayment Gateway dilaporkan diserang lewat celah berskor CVSS 10,0 tanpa patch. Bedanya, kali ini perbaikannya sudah tersedia.
Yang perlu dikerjakan pemilik situs
Langkah pertama, perbarui ke 7.1.4 atau rilis perbaikan untuk cabang yang kamu pakai, lalu pastikan nomor versinya benar-benar berubah. Rescana dan DecryptionDigest sama-sama menyarankan memblokir akses web ke wp-content/upgrade di server atau CDN sebelum memperbarui, karena firewall tingkat PHP bisa dilewati oleh permintaan ini. Setelah itu, jalankan wp core verify-checksums, periksa log akses untuk permintaan ke berkas PHP di folder upgrade, dan cari akun admin, plugin, atau berkas PHP yang tidak dikenal.
Kalau situsmu menjalankan upgrade inti antara 28 Oktober dan 4 November tanpa blokir folder tersebut, DecryptionDigest menyarankan merotasi kredensial admin, database, dan kunci rahasia sebagai langkah hati-hati. Situs di cabang 4.6 atau lebih lama tidak punya perbaikan, jadi satu-satunya jalan adalah pindah ke versi yang masih didukung. Pengguna Wordfence Free baru mendapat aturan proteksi tambahan pada 27 November 2026.
Sumber: WordPress.org, SOC Prime, Rescana. Gambar: WordPress.org.