Pemilik situs WordPress yang memakai Ultra Addons for Contact Form 7 perlu memeriksa versi plugin mereka hari ini. Celah bernomor CVE-2026-102435, yang dipublikasikan pada 2 November 2026, memungkinkan penyerang tanpa akun menghapus berkas di server. Skor CVSS-nya 9,8 dari 10 menurut data CVE yang diterbitkan Wordfence.
Apa yang terjadi
Plugin buatan Themefic ini menambah fitur untuk Contact Form 7, dan direktori plugin WordPress mencatat lebih dari 60.000 instalasi aktif. Catatan CVE menjelaskan bahwa validasi jalur berkas yang kurang memadai membuka celah deserialisasi data tak tepercaya (CWE-502). Hasilnya, penyerang bisa menghapus berkas apa pun yang dapat dijangkau server.
Dampak terburuknya muncul bila berkas yang terhapus adalah wp-config.php. Tanpa berkas itu, WordPress menganggap situs belum terpasang dan bisa menampilkan layar instalasi, sehingga penyerang berpeluang mengambil alih situs. Catatan CVE sendiri menyebut celah ini dapat berujung pada eksekusi kode jarak jauh.
Ada syarat yang membatasi cakupannya. Celah hanya bisa dimanfaatkan jika add-on PDF Generator aktif dan setidaknya satu formulir Contact Form 7 diatur untuk membuat PDF. Situs yang tidak memakai fitur itu tidak terkena jalur serangan ini.
Versi terdampak dan status eksploitasi
Semua versi hingga 3.5.54 terdampak. Pengembang memperbaikinya di 3.5.55, dan changelog plugin mencatat bahwa isu itu dilaporkan Wordfence. Catatan CVE mengkredit penemunya dengan nama Sawyer. Versi terbaru di direktori plugin saat ini adalah 3.5.57.
Sejauh yang tercatat per 5 November 2026, belum ada serangan nyata yang terdokumentasi dan belum ada bukti konsep publik. CVE ini juga belum masuk katalog celah yang dieksploitasi milik CISA. Peluang eksploitasi 30 hari yang dihitung EPSS hanya 0,59 persen. Patchstack memperkirakan serangan akan datang, tetapi itu prediksi, bukan temuan. Penilaian tingkat keparahan juga berbeda: Wordfence memberi 9,8, sedangkan Patchstack memberi 8,6.
Plugin yang sama punya celah lain yang baru tertutup. CVE-2026-82901, unggah berkas sembarang pada fitur PDF Generator, memengaruhi versi hingga 3.5.50 dan diperbaiki di 3.5.51. Pembaruan ke 3.5.55 atau lebih baru otomatis mencakup keduanya.
Yang perlu dilakukan administrator
Langkah pertama adalah membuka daftar plugin dan memastikan versinya minimal 3.5.55. Bila belum bisa memperbarui, nonaktifkan PDF Generator, atau matikan plugin sepenuhnya jika status fitur itu tidak bisa dipastikan. Artikel analisis di DEV Community juga menyarankan memeriksa apakah wp-config.php masih ada dan apakah halaman /wp-admin/setup-config.php menampilkan formulir instalasi. Jika formulir itu muncul, batasi akses publik ke situs segera.
Bila ada berkas yang hilang atau tanda kompromi, pulihkan dari cadangan, ganti kredensial basis data, dan acak ulang salt lewat perintah wp config shuffle-salts. Pengelola situs yang juga mengikuti celah inti WordPress CVE-2026-119977 sebaiknya menjadwalkan satu putaran pemeriksaan versi untuk inti dan semua plugin sekaligus.
Sumber: DEV Community, CVE Watchtower (SecurityOnline), dan direktori plugin WordPress.org. Gambar: WordPress.org.