Celah Updater WordPress CVE-2026-119977 Mulai Dieksploitasi

Sudah cek versi WordPress-mu minggu ini? Kalau masih di bawah 7.1.4, website itu rentan terhadap CVE-2026-119977, celah di proses update WordPress Core yang kini sudah dieksploitasi penyerang. Perbaikannya ada di WordPress 7.1.4 (rilis 28 Oktober 2026) dan backport untuk cabang lama yang dirilis bertahap.

CISA, lembaga keamanan siber Amerika Serikat, memasukkan celah ini ke katalog Known Exploited Vulnerabilities (KEV) pada 3 November 2026 karena ada bukti eksploitasi aktif. Tenggat untuk lembaga federal AS adalah 6 November. Tenggat itu hanya mengikat mereka, tetapi masuknya sebuah celah ke KEV adalah sinyal kuat bahwa semua pemilik website sebaiknya segera menambal.

Bagaimana celah ini bekerja?

CVE-2026-119977 adalah race condition jenis TOCTOU (time-of-check to time-of-use) di updater paket penuh WordPress Core. Celah ini dilaporkan oleh Umut Bayram dari Picus Security, yang dikreditkan oleh WordPress. Catatan CVE dan tulisan teknis publiknya mulai muncul sekitar 31 Oktober 2026.

Alurnya, berdasarkan analisis yang dirangkum Shattered.io:

• Saat update, WordPress mengekstrak salinan sementara ke folder wp-content/upgrade, yang bisa diakses lewat web.
• Salinan sementara itu tidak melihat wp-config.php yang aktif, sehingga menganggap situs belum terpasang dan membuka alur instalasi tanpa login.
• Penyerang yang berhasil masuk di jeda waktu itu bisa mengisi data database miliknya sendiri, sehingga wp-config.php baru ikut tersalin menggantikan yang asli.
• Situs kini mengarah ke database kosong milik penyerang. Ia membuat akun admin pertama, lalu mengunggah plugin jahat untuk menjalankan kode PHP di server.

Skor CVSS 8.1, bukan 9 ke atas, karena penyerang harus "memenangkan" perlombaan waktu. Tetapi celah ini tidak butuh akun apa pun, dan hasil akhirnya adalah kendali penuh atas situs.

Siapa yang paling berisiko?

Rentang versi terdampak sangat lebar, dari 4.7 sampai 7.1.3, jadi hampir semua WordPress yang belum diperbarui sejak akhir Oktober masuk hitungan. Yang paling perlu waspada adalah situs yang mematikan pembaruan otomatis, situs lama yang jarang dibuka pemiliknya, dan situs titipan klien yang tidak jelas siapa pengelolanya.

Rilis 7.1.4 sendiri juga membawa perbaikan keamanan lain, antara lain untuk stored XSS, kebocoran informasi, dan pengecekan izin. Jadi update ini layak dipasang meskipun kamu merasa situsmu jarang diserang.

Langkah mengamankan WordPress dari CVE-2026-119977

1. Cek versi WordPress

Di dasbor, versi tertera di Dasbor > Pembaruan. Kalau kamu punya akses SSH dan WP-CLI, jalankan dari folder WordPress:

wp core version
wp core check-update

Versi 7.1.4 ke atas sudah aman di cabang 7.1. Untuk cabang lama, pastikan kamu sudah menerima rilis backport terbaru dari cabang tersebut.

2. Backup dulu, lalu update

Ambil backup file dan database, kemudian perbarui:

wp core update

Situs dengan pembaruan otomatis di latar belakang seharusnya menerima perbaikan ini sendiri. Situs yang mematikan fitur itu harus diperbarui manual. Kalau kamu khawatir plugin rusak setelah update, ikuti panduan update WordPress tanpa error.

3. Blokir sementara folder wp-content/upgrade

Bila update belum bisa dilakukan hari ini, tutup akses web ke folder staging update. Untuk Nginx, tambahkan di dalam blok server:

location ^~ /wp-content/upgrade/ { return 403; }

Untuk Apache, di konfigurasi situs atau .htaccess:

RedirectMatch 403 ^/wp-content/upgrade/

Muat ulang web server setelah mengubah konfigurasi Nginx. Ini jembatan sementara, bukan pengganti patch.

4. Jangan berasumsi hosting sudah menambal

Di hosting terkelola sekalipun, cek sendiri string versinya. WAF atau virtual patch bisa membantu, tetapi cakupan dan waktunya berbeda-beda antar penyedia.

5. Periksa tanda-tanda pembobolan

Kalau situsmu sempat berjalan di versi rentan, periksa hal berikut:

Bila menemukan salah satunya, ganti kredensial database, salt, dan kata sandi semua admin. Untuk pembersihan menyeluruh, lihat cara membersihkan malware WordPress.

Kenapa masuk KEV itu penting?

Katalog KEV hanya berisi celah yang terbukti dieksploitasi di dunia nyata, bukan sekadar teori. Banyak tim keamanan memakai daftar ini sebagai urutan prioritas patch. Penjelasan lengkapnya ada di artikel katalog KEV CISA.

Checklist singkat:

• Versi WordPress sudah 7.1.4 atau backport terbaru cabangmu.
• Backup diambil sebelum update.
• Akses web ke wp-content/upgrade diblokir bila patch tertunda.
• Daftar admin, plugin, dan wp-config.php sudah diperiksa.