Sebuah celah kritis di Gravity Forms, plugin pembuat formulir berbayar yang banyak dipakai situs WordPress, dipublikasikan pada 30 Oktober 2026 dengan nomor CVE-2026-103039 dan skor CVSS 3.1 sebesar 9,8. Wordfence bertindak sebagai penerbit nomor CVE ini. Penyerang tidak perlu login untuk memanfaatkannya, tetapi hasil akhirnya bergantung pada komponen lain yang terpasang di situs.
Apa yang bermasalah
Menurut deskripsi CVE, fungsi pembuat posting di Gravity Forms memproses data lewat maybe_unserialize() bawaan WordPress, bukan fungsi pengaman milik plugin sendiri. Akibatnya, pengunjung tanpa akun bisa menyisipkan objek PHP ke metadata posting melalui kolom Post Custom Field bertipe List yang memakai content template. Ini adalah kelas celah injeksi objek PHP (CWE-502).
Gravity Forms sendiri tidak memuat rantai gadget yang diperlukan untuk mengeksekusi kode. Eksekusi kode jarak jauh baru mungkin bila plugin atau tema lain di situs yang sama menyediakannya, sehingga risiko nyata berbeda dari situs ke situs. Pada konfigurasi tertentu, deskripsi CVE juga menyebut jalur yang melewati WordPress sendiri, jadi pemilik situs sebaiknya tidak menganggap dirinya aman hanya karena daftar plugin mereka pendek.
Celah ini dilaporkan oleh Tin Pham (TF1T), Hao Ngo, dan Trong Pham. Vendor diberi tahu pada 30 September, pengungkapan publik terjadi pada 29 Oktober, dan entri CVE terbit sehari kemudian. Halaman agregator CVE yang kami baca mencatat KEV CISA belum memuatnya dan peluang eksploitasi 30 harinya (EPSS) hanya 0,51 persen. Kami belum menemukan laporan serangan aktif dari sumber mana pun.
Versi terdampak dan perbaikan
Gravity Forms versi 3.1.2 ke bawah terdampak. Sumber yang kami baca tidak menyebut versi perbaikan secara eksplisit, dan catatan rilis resmi Gravity Forms tidak memakai istilah deserialisasi atau injeksi objek. Catatan itu menunjukkan versi terbaru adalah 3.2.1, dirilis 28 Oktober 2026, dengan keterangan umum “security enhancements”. Versi tersebut lebih baru dari rentang terdampak, tetapi apakah ia menutup CVE ini perlu dipastikan lewat advisori Wordfence atau vendor.
Langkah yang perlu diambil pembaca
Periksa versi Gravity Forms di dasbor WordPress, lalu perbarui ke rilis terbaru lewat akun lisensi Anda. Tinjau juga formulir yang memakai fitur pembuatan posting dan kolom Post Custom Field bertipe List, karena di situlah celah ini bekerja. Jika Anda belum bisa memperbarui, pertimbangkan menonaktifkan sementara formulir yang membuat posting dari kiriman publik.
Perbarui pula plugin dan tema lain, sebab rantai gadget datang dari sana. Pekan ini kami juga mencatat upaya eksploitasi terhadap celah inti WordPress yang ditambal di 7.1.4, jadi memperbarui inti WordPress sekaligus patut dilakukan. Pengelola situs agensi atau toko online di Indonesia yang memakai Gravity Forms untuk formulir pesanan dan pendaftaran perlu memeriksa semua instalasi kliennya, bukan satu situs saja.
Sumber: Strix, CVE-2026-103039; ThreatInt, catatan CVE; Gravity Forms, changelog resmi. Gambar: Gravity Forms.