Tim WordPress merilis versi 7.1.4 pada 28 Oktober 2026 untuk menambal 22 celah keamanan yang tersebar di 17 advisori, menurut hitungan Patchstack. Salah satunya menarik perhatian penyerang: CVE-2026-119977, celah di proses pembaruan inti yang bisa berujung eksekusi kode tanpa login. Wordfence melaporkan puluhan ribu percobaan serangan yang berhasil diblokir, sementara bukti situs yang benar-benar dibobol belum ada.
Celah yang hanya terbuka beberapa detik
CVE-2026-119977 adalah kondisi balapan (race condition) pada saat WordPress memperbarui dirinya sendiri. Peneliti Umut Bayram melaporkannya. Menurut Patchstack, penyebabnya ada dua: nama folder ekstraksi untuk unggahan admin bisa ditebak, dan rutinitas pembersihan menghapus berkas index.php yang mencegah daftar isi direktori tampil. Dalam jendela waktu yang hanya beberapa detik selama pembaruan berjalan, penyerang yang meminta jalur yang tepat bisa menjalankan kode, dengan syarat folder wp-content/upgrade/ dapat diakses lewat web.
Wordfence memberi skor CVSS 8,1 (kategori tinggi). Patchstack menilai kompleksitas serangannya tinggi dan tidak menyebutnya praktis dieksploitasi. Sumber lain, aicybr, mencatat bahwa advisori proyek WordPress sendiri menilai celah yang sama berstatus rendah. Perbedaan penilaian ini wajar dicatat sebelum pembaca memutuskan seberapa cepat harus bertindak. Versi yang terdampak mencakup WordPress 4.7.0 sampai 7.1.3.
Serangan terblokir, kompromi belum terkonfirmasi
Menurut laporan 1Arabia pada 1 November, Wordfence memblokir 58.693 percobaan eksploitasi dalam 24 jam. Saat aicybr meninjau halaman advisori Wordfence pada 3 November, penghitung menunjukkan 20.141 serangan terblokir dalam 24 jam sebelumnya. Kedua sumber menegaskan angka itu bukan jumlah situs yang berhasil dibobol, dan tidak ada kompromi terkonfirmasi dalam catatan yang mereka kutip. Kabar tentang masuknya celah ini ke daftar KEV CISA hanya muncul di satu sumber sekunder dan belum bisa diverifikasi, jadi tulisan ini tidak menjadikannya dasar.
Pemilik situs WordPress yang baru saja membaca peringatan plugin CryptoPayment Gateway yang diserang perlu mencatat perbedaannya: kali ini celah ada di inti WordPress, bukan di plugin pihak ketiga.
Yang perlu dilakukan pengelola situs
Perbaikan ada di WordPress 7.1.4. Cabang lama mendapat versi backport, antara lain 7.0.8 dan 6.9.11, hingga 4.7.39. Versi 4.6 dan yang lebih lama tidak menerima perbaikan. Perbaikan di 7.1.4 menambahkan 16 karakter acak pada nama folder ekstraksi, membuat ulang index.php, dan berhenti menghapusnya. Situs dengan pembaruan otomatis akan menerimanya sendiri, tetapi Patchstack menyarankan pengelola memeriksa versi yang terpasang, bukan mengandalkan asumsi.
Patchstack juga menyebut firewall tingkat PHP tidak bisa menahan permintaan serangan ini. Blokir akses web ke wp-content/upgrade/ di server dan matikan daftar isi direktori. Setelah pembaruan, jalankan wp core version dan wp core verify-checksums, lalu periksa log server di sekitar waktu upgrade untuk permintaan janggal, berkas PHP tak dikenal, atau akun admin baru. Rilis ini juga menambal tujuh bug Interactivity API dan stored XSS di layar penghapusan data pribadi, jadi memperbarui tetap layak meski serangan terhadap celah utamanya sulit.
Sumber: Patchstack, aicybr, 1Arabia. Gambar: Patchstack.