Tim WordPress merilis versi 7.1.4 pada 28 Oktober 2026 sebagai rilis keamanan jangka pendek. Perbaikan terpenting menutup kelemahan di proses pembaruan inti yang, menurut pengumuman resmi, dapat membuka jalan bagi eksekusi kode jarak jauh selama jendela pembaruan berlangsung. Pengumuman itu tidak memuat nomor CVE, dan belum ada laporan serangan di dunia nyata.
Apa yang diperbaiki
Daftar resmi WordPress.org memuat 12 perbaikan keamanan ditambah pembaruan sertifikat root bawaan setelah pencabutan kepercayaan pada eMudhra. Patchstack menghitungnya berbeda: 22 kerentanan dalam 17 advisori. Selisih itu kemungkinan berasal dari cara tiap pihak mengelompokkan temuan.
Sebagian besar sisanya adalah XSS tersimpan. Celahnya ada di markup blok, layar permintaan penghapusan data pribadi, Interactivity API, selective refresh Customizer, blok Categories, blok Playlist dan gambar, blok navigasi halaman komentar, serta nama pengguna yang dirancang khusus. Ada juga denial of service tersimpan di Interactivity API, perubahan Customizer yang belum terbit dan bisa ditemukan pengunjung tanpa login, serta catatan (notes) yang bisa dibaca pengguna istimewa yang tidak berhak mengedit pos terkait. Menurut Patchstack, hampir semua celah ini membutuhkan akun minimal Contributor.
Celah proses pembaruan adalah pengecualian. Patchstack menjelaskan, saat pembaruan berjalan, WordPress mengekstrak paket ke wp-content/upgrade/. Sebelum 7.1.4, nama folder ekstraksi untuk paket yang diunggah admin bisa ditebak, dan langkah pembersihan menghapus berkas index.php pelindung. Dalam beberapa detik itu, penyerang tanpa akun secara teori bisa memanggil berkas pemasangan dan menjalankannya terhadap basis data miliknya. Patchstack menilai kompleksitas serangannya tinggi dan tidak menyebutnya praktis dieksploitasi. Umut Bayram tercatat sebagai pelapor, dan Anthropic termasuk pihak yang dikreditkan untuk beberapa temuan lain.
Versi terdampak dan perbaikan
Semua versi sebelum 7.1.4 terdampak, dan versi yang sudah diperbaiki adalah 7.1.4. WordPress juga mem-backport perbaikan ke setiap cabang yang masih memenuhi syarat sampai 4.7, tetapi backport itu dirilis bertahap begitu siap. Perilisan 7.2 dijadwalkan 8 Desember, dan Beta 3 sudah memuat perbaikan yang berlaku.
Langkah yang perlu diambil pengelola situs
Perbarui ke 7.1.4 lewat dasbor, atau pastikan pembaruan otomatis latar belakang sudah terpasang. Pengelola situs di cabang lama sebaiknya menunggu backport untuk cabangnya dan memeriksa versi itu di halaman Pembaruan.
Patchstack juga menyarankan memblokir akses web ke wp-content/upgrade/ di tingkat server web dan memastikan folder itu tidak bisa ditelusuri, karena firewall tingkat PHP tidak menjangkau salinan yang diekstrak. Tinjau pula daftar pengguna: hapus akun Contributor dan Author yang tidak lagi dipakai, sebab hampir semua celah XSS di atas dimulai dari peran tersebut. Untuk plugin pihak ketiga, celah YOOtheme Pro yang sedang dieksploitasi menunjukkan risiko yang lebih mendesak bagi pengguna tema itu.
Sumber: WordPress.org dan Patchstack. Gambar: WordPress.org.