--- title: "Celah Updater WordPress CVE-2026-119977 Mulai Dieksploitasi" description: "CVE-2026-119977 di updater WordPress 4.7 sampai 7.1.3 sudah masuk daftar KEV CISA. Ini cara kerjanya, cara cek versi, dan langkah amannya." url: "https://nivelva.com/insight/celah-updater-wordpress-cve-2026-119977" category: "Keamanan/Cyber Security" tags: ["wordpress","cve-2026-119977","kev cisa","keamanan website","patch"] author: "Lucas Tan" published: "2026-11-12T15:19:00+07:00" updated: "2026-11-12T15:19:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Celah Updater WordPress CVE-2026-119977 Mulai Dieksploitasi > **Jawaban singkat:** CVE-2026-119977 adalah race condition di updater WordPress Core (CVSS 8.1) yang memengaruhi versi 4.7 sampai 7.1.3. Sudah dieksploitasi dan masuk katalog KEV CISA pada 3 November 2026. Solusinya update ke 7.1.4 atau backport cabangmu, dan blokir akses web ke wp-content/upgrade sementara. Sudah cek versi WordPress-mu minggu ini? Kalau masih di bawah 7.1.4, website itu rentan terhadap CVE-2026-119977, celah di proses update WordPress Core yang kini sudah dieksploitasi penyerang. Perbaikannya ada di WordPress 7.1.4 (rilis 28 Oktober 2026) dan backport untuk cabang lama yang dirilis bertahap. CISA, lembaga keamanan siber Amerika Serikat, memasukkan celah ini ke katalog Known Exploited Vulnerabilities (KEV) pada 3 November 2026 karena ada bukti eksploitasi aktif. Tenggat untuk lembaga federal AS adalah 6 November. Tenggat itu hanya mengikat mereka, tetapi masuknya sebuah celah ke KEV adalah sinyal kuat bahwa semua pemilik website sebaiknya segera menambal. | Data | Nilai | |---|---| | ID | CVE-2026-119977 | | Tingkat bahaya | Tinggi (CVSS 8.1) | | Produk terdampak | WordPress Core | | Versi terdampak | 4.7 sampai 7.1.3 | | Versi aman | 7.1.4 atau backport cabang lama | | Status | Dieksploitasi, masuk KEV CISA | | Diumumkan | 3 November 2026 | | Detail | https://nvd.nist.gov/vuln/detail/CVE-2026-119977 | ## Bagaimana celah ini bekerja? CVE-2026-119977 adalah race condition jenis TOCTOU (time-of-check to time-of-use) di updater paket penuh WordPress Core. Celah ini dilaporkan oleh Umut Bayram dari Picus Security, yang dikreditkan oleh WordPress. Catatan CVE dan tulisan teknis publiknya mulai muncul sekitar 31 Oktober 2026. Alurnya, berdasarkan analisis yang dirangkum Shattered.io: - Saat update, WordPress mengekstrak salinan sementara ke folder `wp-content/upgrade`, yang bisa diakses lewat web. - Salinan sementara itu tidak melihat `wp-config.php` yang aktif, sehingga menganggap situs belum terpasang dan membuka alur instalasi tanpa login. - Penyerang yang berhasil masuk di jeda waktu itu bisa mengisi data database miliknya sendiri, sehingga `wp-config.php` baru ikut tersalin menggantikan yang asli. - Situs kini mengarah ke database kosong milik penyerang. Ia membuat akun admin pertama, lalu mengunggah plugin jahat untuk menjalankan kode PHP di server. Skor CVSS 8.1, bukan 9 ke atas, karena penyerang harus "memenangkan" perlombaan waktu. Tetapi celah ini tidak butuh akun apa pun, dan hasil akhirnya adalah kendali penuh atas situs. ## Siapa yang paling berisiko? Rentang versi terdampak sangat lebar, dari 4.7 sampai 7.1.3, jadi hampir semua WordPress yang belum diperbarui sejak akhir Oktober masuk hitungan. Yang paling perlu waspada adalah situs yang mematikan pembaruan otomatis, situs lama yang jarang dibuka pemiliknya, dan situs titipan klien yang tidak jelas siapa pengelolanya. Rilis 7.1.4 sendiri juga membawa perbaikan keamanan lain, antara lain untuk stored XSS, kebocoran informasi, dan pengecekan izin. Jadi update ini layak dipasang meskipun kamu merasa situsmu jarang diserang. ## Langkah mengamankan WordPress dari CVE-2026-119977 ### 1. Cek versi WordPress Di dasbor, versi tertera di **Dasbor > Pembaruan**. Kalau kamu punya akses SSH dan WP-CLI, jalankan dari folder WordPress: ```bash wp core version wp core check-update ``` Versi 7.1.4 ke atas sudah aman di cabang 7.1. Untuk cabang lama, pastikan kamu sudah menerima rilis backport terbaru dari cabang tersebut. ### 2. Backup dulu, lalu update Ambil backup file dan database, kemudian perbarui: ```bash wp core update ``` Situs dengan pembaruan otomatis di latar belakang seharusnya menerima perbaikan ini sendiri. Situs yang mematikan fitur itu harus diperbarui manual. Kalau kamu khawatir plugin rusak setelah update, ikuti panduan [update WordPress tanpa error](https://nivelva.com/insight/update-wordpress-tanpa-error). ### 3. Blokir sementara folder wp-content/upgrade Bila update belum bisa dilakukan hari ini, tutup akses web ke folder staging update. Untuk Nginx, tambahkan di dalam blok `server`: ```nginx location ^~ /wp-content/upgrade/ { return 403; } ``` Untuk Apache, di konfigurasi situs atau `.htaccess`: ```apache RedirectMatch 403 ^/wp-content/upgrade/ ``` Muat ulang web server setelah mengubah konfigurasi Nginx. Ini jembatan sementara, bukan pengganti patch. ### 4. Jangan berasumsi hosting sudah menambal Di hosting terkelola sekalipun, cek sendiri string versinya. WAF atau virtual patch bisa membantu, tetapi cakupan dan waktunya berbeda-beda antar penyedia. ### 5. Periksa tanda-tanda pembobolan Kalau situsmu sempat berjalan di versi rentan, periksa hal berikut: | Yang dicek | Tanda mencurigakan | |:--|:--| | Log web server | Permintaan ke file PHP di `wp-content/upgrade`, terutama halaman setup atau install, di sekitar waktu update | | `wp-config.php` | Host, nama, atau user database berubah, atau waktu modifikasi tidak wajar | | Daftar pengguna | Akun administrator yang tidak dikenal, terutama yang baru dibuat | | Plugin | Plugin yang tidak pernah kamu pasang | | Folder uploads dan plugin | File PHP yang tidak semestinya ada | Bila menemukan salah satunya, ganti kredensial database, salt, dan kata sandi semua admin. Untuk pembersihan menyeluruh, lihat cara [membersihkan malware WordPress](https://nivelva.com/insight/cara-membersihkan-malware-wordpress-kehilangan-data). > **Sudah ada percobaan serangan:** > > Wordfence dilaporkan memblokir serangan yang menyasar CVE ini. Per 5 November 2026, sumber yang dirangkum Shattered.io belum menemukan korban yang dikonfirmasi, dan CISA tidak menyebut nama korban. Jangan menunggu ada berita korban untuk menambal. ## Kenapa masuk KEV itu penting? Katalog KEV hanya berisi celah yang terbukti dieksploitasi di dunia nyata, bukan sekadar teori. Banyak tim keamanan memakai daftar ini sebagai urutan prioritas patch. Penjelasan lengkapnya ada di artikel [katalog KEV CISA](https://nivelva.com/insight/katalog-kev-cisa-prioritas-patch). ## Pertanyaan yang sering diajukan ### Versi WordPress mana yang terdampak CVE-2026-119977? WordPress Core 4.7 sampai 7.1.3, dengan rentang tepat yang sedikit berbeda per cabang. Perbaikan ada di 7.1.4 dan backport untuk cabang lama. ### Apakah penyerang perlu login untuk mengeksploitasi celah ini? Tidak. Penyerang memanfaatkan alur instalasi di folder sementara saat update berlangsung, yang bisa diakses tanpa login. ### Apakah memblokir wp-content/upgrade sudah cukup? Belum. Itu hanya mitigasi sementara. Solusi utamanya tetap update ke 7.1.4 atau backport terbaru di cabangmu. ### Situsku di hosting terkelola, apakah otomatis aman? Belum tentu. Cek sendiri versi WordPress yang terpasang, karena tidak semua penyedia menambal di waktu yang sama. Checklist singkat: - Versi WordPress sudah 7.1.4 atau backport terbaru cabangmu. - Backup diambil sebelum update. - Akses web ke `wp-content/upgrade` diblokir bila patch tertunda. - Daftar admin, plugin, dan `wp-config.php` sudah diperiksa. ## Sumber - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/celah-updater-wordpress-cve-2026-119977 Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com