Tim keamanan WordPress merilis versi 7.1.4 pada 28 Oktober 2026 untuk menutup 22 celah, salah satunya race condition saat pembaruan inti yang bisa berujung eksekusi kode jarak jauh (RCE). Dua hari kemudian, Wordfence melaporkan bahwa celah itu sudah diincar: tim mereka memblokir 62.969 serangan dalam satu periode 24 jam.
Celah yang Muncul Hanya Saat Situs Memperbarui Diri
Menurut analisis Wordfence, masalahnya ada pada jalur penyimpanan sementara yang mudah ditebak dan bisa diakses lewat web selama pembaruan paket penuh WordPress. Penyerang tanpa akun bisa memanfaatkannya dalam jendela waktu yang sempit, yaitu saat WordPress sedang mengekstrak berkas pembaruan. Wordfence menyebutnya race condition. Celah ini berskor CVSS 8,1, belum punya nomor CVE, dan dilacak lewat advisori GitHub GHSA-4w3m-c66w-69mg. Peneliti keamanan Umut Bayram tercatat sebagai penemunya, menurut Search Engine Journal.
Versi inti yang terdampak adalah 4.7 sampai 7.1.3. Wordfence juga mengamati pola yang cocok dengan upaya menangkap jendela pembaruan: dua sumber serangan terbesar memantau sekelompok kecil situs selama sekitar 14,5 jam.
Rilis 7.1.4 Memuat Lebih dari Satu Perbaikan
Halaman rilis WordPress.org mencantumkan 22 kerentanan yang ditambal. Sebagian besar berupa stored XSS yang butuh akses setingkat Contributor atau lebih tinggi, terutama di Interactivity API, blok, dan Customizer. Ada pula kebocoran informasi berupa perubahan Customizer yang belum dipublikasikan, yang bisa terbaca pengunjung tanpa login, serta masalah izin pada catatan (notes) untuk peran moderator komentar kustom. Rilis ini juga memperbarui sertifikat root akibat pencabutan sertifikat eMudhra.
Tim keamanan WordPress menyediakan perbaikan untuk cabang lama juga. Contohnya 7.0.8, 6.9.11, 6.8.12, dan 6.7.11, sampai 4.7.39 untuk cabang paling tua. Cabang 4.6 ke bawah tidak lagi mendapat pembaruan keamanan. Halaman rilis menyebut hanya versi terbaru yang didukung aktif, sehingga pengelola situs sebaiknya pindah ke 7.1.4 bila memungkinkan.
Yang Perlu Dilakukan Pengelola Situs
Saran utama Wordfence sederhana: perbarui ke WordPress 7.1.4 secepatnya, lewat menu Dashboard > Updates atau lewat panel hosting. Sumber yang saya baca tidak menjelaskan apakah pembaruan otomatis di latar belakang berlaku untuk rilis ini, jadi periksa versi di situs masing-masing dan jangan menunggu.
Bagi situs yang sudah lama belum diperbarui, Wordfence meminta pemeriksaan jejak kompromi. Cek log server untuk permintaan mencurigakan ke berkas PHP di bawah wp-content/upgrade, lalu cari akun administrator, plugin, atau berkas PHP yang tidak dikenal. Sumber yang tersedia belum melaporkan jumlah situs yang berhasil dibobol, jadi angka 62.969 menunjukkan percobaan serangan yang diblokir, bukan korban.
Sumber: The Hacker News, WordPress.org (rilis 7.1.4), dan Search Engine Journal. Gambar: The Hacker News