CISA menambahkan CVE-2026-119977, celah di inti WordPress, ke katalog Known Exploited Vulnerabilities pada 3 November 2026 karena menemukan bukti eksploitasi aktif. Celah ini bernilai CVSS 8,1 dan menurut catatan publik menyentuh WordPress 4.7 sampai 7.1.3. Perbaikannya sudah tersedia di WordPress 7.1.4 yang dirilis pada 28 Oktober.
Celah muncul saat proses pembaruan berlangsung
Masalahnya berupa race condition jenis time-of-check to time-of-use (CWE-367) pada pembaruan inti dengan paket penuh. Saat versi baru diekstrak ke area sementara di wp-content/upgrade, penyerang tanpa akun bisa mencoba menjangkau berkas setup-config.php sebelum proses pembersihan selesai. Syaratnya cukup sempit: direktori sementara itu harus bisa dibuka publik lewat HTTP dan mengizinkan eksekusi PHP, dan penyerang harus tepat waktu. GBHackers menyebut eksploitasi memerlukan pengaturan waktu yang presisi.
Halaman rilis WordPress 7.1.4 mencatat perbaikan race condition pada pembaruan inti yang bisa berujung eksekusi kode jarak jauh, dengan kredit untuk pelapor bernama Umut Bayram. Halaman itu tidak menyebut nomor CVE-nya, jadi kaitan dengan CVE-2026-119977 berasal dari laporan GBHackers dan Tech Insider.
Seberapa luas serangannya
CISA meminta lembaga federal sipil Amerika Serikat menambal paling lambat 6 November. Aturan itu tidak mengikat perusahaan swasta, tetapi CISA mengimbau semua pengelola sistem ikut memprioritaskannya. Angka percobaan serangan berbeda antar laporan: GBHackers mengutip 58.693 percobaan yang diblokir dalam 24 jam, sedangkan Tech Insider menulis 13.095. Keduanya menghitung percobaan, bukan situs yang terbukti dibobol.
Rilis 7.1.4 menambal 22 kerentanan menurut halaman resmi WordPress, sementara catatan Pantheon menghitung 13 isu, jadi hitungannya bergantung pada sumber. Tech Insider juga melaporkan bahwa aturan firewall berbayar Wordfence terbit dalam hitungan jam, sedangkan aturan versi gratis baru menyusul pada 27 November. Informasi itu berasal dari satu sumber sekunder. Di ekosistem web lain, Rails juga baru menambal celah kritis Active Storage.
Langkah untuk admin situs
Langkah utamanya memperbarui ke 7.1.4 lewat Dasbor, menu Pembaruan. Tim WordPress juga merilis backport untuk cabang lama, mulai 7.0.8 dan 6.9.11 sampai 4.7.39. Cabang lama menerima lebih sedikit perbaikan: 4.7.39, misalnya, hanya memuat 2 dari 22 perbaikan, dan WordPress 4.6 ke bawah tidak lagi mendapat tambalan keamanan. Cek nomor versi yang benar-benar terpasang, jangan berasumsi pembaruan otomatis sudah berhasil.
Sebelum memperbarui, Tech Insider menyarankan memblokir akses HTTP ke wp-content/upgrade di server web atau CDN sebagai langkah sementara. Setelah itu, periksa log server untuk permintaan ke berkas pemasang sementara, lalu telusuri akun administrator, plugin, dan berkas PHP yang tidak dikenal. Pantheon sudah menerapkan mitigasi di tingkat platform, tetapi tetap meminta pelanggan memperbarui situsnya. Pengguna hosting terkelola sebaiknya menanyakan secara tertulis apakah semua situsnya sudah berjalan di build yang diperbaiki.
Sumber: WordPress.org, GBHackers, Tech Insider, Pantheon. Gambar: WordPress.org