Sejumlah situs web berbasis WordPress dilaporkan masih berada dalam ancaman serangan siber saat sedang menjalankan proses instalasi perbaikan atas celah keamanan yang kini tengah dieksploitasi secara aktif di alam liar, sebagaimana diungkapkan oleh Umut Bayram, seorang peneliti keamanan dari Picus Security yang pertama kali menemukan kerentanan tersebut.

Proses pembaruan sistem yang bertugas memasang tambalan perbaikan tersebut pada dasarnya masih mengekstrak berkas-berkas data menggunakan baris kode lama yang belum ditambal pada situs target. Kondisi ini memungkinkan pelaku kejahatan siber yang melancarkan aksinya pada waktu yang tepat untuk mengeksekusi kode berbahaya langsung di dalam peladen. Untuk menghindari risiko fatal ini, sang peneliti sangat menyarankan pengelola web guna segera menutup akses publik menuju direktori wp-content/upgrade sebelum tindakan pembaruan dijalankan.

Celah keamanan berbahaya ini tercatat secara resmi dengan identitas CVE-2026-119977 dan berdampak langsung pada WordPress versi 4.7 hingga versi 7.1.3. Ketika sistem menjalankan proses pembaruan inti yang memakai paket penuh secara utuh, sistem manajemen konten WordPress akan mengekstrak duplikat dari versi mutakhir ke dalam direktori sementara yang berada di dalam folder wp-content/upgrade. Salinan berkas tersebut mencakup program instalasi resmi WordPress, di mana peladen web pada umumnya dapat menjangkau dan mengeksekusi folder ini secara bebas melalui jaringan internet.

Peretas tanpa hak akses akun apa pun yang sanggup menebak nama folder tersebut serta mengakses antarmuka penginstal sebelum berkas salinan dihapus otomatis oleh sistem dapat mengeksekusi kode berbahaya di server. Mengingat tingginya ancaman bahaya ini, Badan Keamanan Siber dan Infrastruktur Amerika Serikat atau Cybersecurity and Infrastructure Security Agency (CISA) secara resmi memasukkan kerentanan ini ke dalam katalog Known Exploited Vulnerabilities milik mereka pada awal pekan ini.

Pihak pengembang WordPress sendiri telah meluncurkan tambalan resmi pada pekan lalu lewat perilisan versi 7.1.4, disertai pembaruan serupa untuk cabang versi lawas hingga versi 4.7, sebagaimana dicantumkan secara perinci dalam buletin imbauan keamanan mereka.

Perbaikan yang dihadirkan ini bekerja dengan cara memberikan nama acak pada folder sementara tersebut. Kendati demikian, mekanisme pembaruan yang bertugas memasang berkas tambalan itu masih mengekstrak seluruh data menggunakan modul kode lama yang telah tertanam di dalam situs web, seperti yang tampak jelas pada dokumentasi kode sistem pembaru milik WordPress. Pada berbagai situs yang memakai WordPress 5.9 atau versi yang lebih mutakhir, kode lama tersebut secara otomatis menamai folder sementara sesuai dengan nama berkas unduhan, sehingga susunan namanya masih dapat diprediksi dengan sangat mudah untuk satu kali pembaruan terakhir.

Sebelum patch perbaikan ini diluncurkan secara publik, penyerang dapat memanfaatkan peranti pemasang tersebut guna menyusun berkas konfigurasi baru, yakni wp-config.php, langsung ke dalam direktori salinan sementara. Proses pembaruan sistem nantinya akan menimpa berkas konfigurasi asli situs dengan berkas buatan peretas tersebut. Namun demikian, komponen tambalan yang berfungsi mencegah penimpaan berbahaya ini sudah bekerja efektif selama proses instalasi berlangsung, dikarenakan platform WordPress memindahkan dan menempatkan berkas menggunakan logika kode baru yang telah diperbaiki.

Kendati penimpaan langsung dapat digagalkan, peretas yang sukses memanfaatkan celah waktu sempit selama proses pembaruan itu masih dapat mengonfigurasi salinan sementara WordPress dengan peladen basis data milik mereka sendiri. Dari situ, mereka bisa masuk ke sistem administrasi dan mengeksekusi perintah PHP berbasis izin server web sebelum folder sementara tersebut dimusnahkan oleh sistem, jelas Bayram dalam penjelasan teknis komprehensif miliknya. Melalui celah akses tersebut, penyerang memiliki kendali penuh untuk membaca, mengubah, maupun menyisipkan berkas ke dalam situs web WordPress yang sedang aktif beroperasi.

Pihak yang Paling Rentan Selama Proses Pembaruan

Peneliti menegaskan bahwa tidak setiap proses pembaruan sistem secara langsung membuka celah akses peranti pemasang tersebut kepada publik. Paket instalasi penuh dipastikan selalu menyertakan berkas modul pemasang. Sebaliknya, paket parsial berskala lebih kecil yang secara khusus dirancang untuk versi asal tertentu hanya akan memaparkan situs apabila di dalamnya kebetulan memuat komponen modul pemasang tersebut.

Sementara itu, pada berbagai situs web yang mengaktifkan opsi pembaruan otomatis di latar belakang, platform WordPress akan menerapkan tambalan perbaikan ini secara mandiri memakai mekanisme serta tahapan kerja sistem pembaruan yang sama persis.

Tim jurnalis The Hacker News melakukan pengujian terhadap layanan pembaruan WordPress.org hari ini pada beberapa tingkatan rilis. Untuk pembaruan berkala di dalam satu cabang rilis, misalnya dari versi 7.1.3 beralih menuju versi 7.1.4, repositori resmi menyajikan paket pembaruan parsial, termasuk pula guna kebutuhan pembaruan otomatis. Namun, guna peralihan dari cabang versi lama ke versi anyar, semisal dari versi 7.0.7 beralih langsung ke versi 7.1.4, repositori hanya menyuguhkan opsi paket instalasi penuh.

Bagi instalasi WordPress versi 4.4 hingga 5.8, baris kode lama pada sistem secara otomatis menyematkan karakter acak pada penamaan folder pembaruan. Langkah penambahan karakter acak ini dinilai efektif menyembunyikan identitas direktori dari ancaman peretas, kecuali jika situs tersebut membocorkannya lewat jalur lain, seperti munculnya pesan kesalahan sistem, urai peneliti lebih lanjut.

Segera setelah versi 7.1.4 atau tambalan khusus tiap cabang berhasil terpasang di peladen, setiap aktivitas pembaruan berkala selanjutnya dijamin akan menerapkan penamaan direktori secara acak, dan berkas wp-config.php di dalam repositori sementara tidak akan pernah menimpa konfigurasi asli.

Langkah Pencegahan Sebelum Melakukan Pembaruan

Saran utama yang dianjurkan oleh peneliti keamanan adalah memutus akses peladen web secara menyeluruh terhadap folder wp-content/upgrade. WordPress memproses direktori tersebut secara langsung pada ruang penyimpanan fisik diska, sehingga pembatasan akses web publik tidak akan mengganggu maupun merusak jalannya pembaruan sistem, terangnya.

Alternatif penanganan lain yang dinilai aman adalah menerapkan prosedur pembaruan mandiri secara manual di luar folder utama dokumen web (web root). Administrator disarankan membuat cadangan berkas dan basis data situs web terlebih dahulu, mengekstrak arsip rilis anyar ke dalam folder khusus yang tidak dapat dijangkau oleh server web, menyalin seluruh berkas inti sistem tanpa menyentuh wp-config.php atau wp-content, lalu mengeksekusi skrip pembaruan basis data WordPress. Melalui teknik ini, berkas penginstal sementara tidak akan pernah terbentuk di area yang dapat diakses publik.

Menjalankan perintah wp core update melalui antarmuka WP-CLI dipastikan bukan merupakan jalan keluar perlindungan, mengingat utilitas ini tetap memicu mekanisme pembaruan bawaan yang mengekstrak paket data ke dalam folder target yang sama persis.

Situs berbasis WordPress 4.6 beserta varian yang lebih lawas saat ini sudah tidak lagi menerima pembaruan tambalan keamanan, sehingga tidak ada patch yang dirilis untuk mereka. Peneliti memaparkan bahwa riwayat kelemahan ini berakar sejak WordPress 2.7 yang diedarkan pada tahun 2008 silam, dan seluruh pengelola situs lawas tersebut diimbau bermigrasi ke versi resmi yang didukung.

Pola Serangan dan Hal yang Harus Diperiksa

Langkah CISA memasukkan celah ini ke dalam daftar eksploitasi aktif pada awal pekan ini didasarkan atas bukti konkret serangan di lapangan, walaupun lembaga tersebut tidak memaparkan perincian pola penyerangan secara terbuka.

Wordfence, entitas keamanan WordPress yang menetapkan identifikasi CVE ini, mendeteksi serangkaian percobaan intrusi tepat sembilan menit setelah mereka menerapkan aturan filter firewall baru pada hari perilisan perbaikan. Dua sumber penyerang paling aktif terpantau terus-menerus memindai kelompok situs berskala kecil selama kurang lebih 14,5 jam, di mana pihak Wordfence dalam laporan analisis serangannya menilai aktivitas pemindaian tersebut selaras dengan upaya mencegat momen ketika sebuah situs web tengah memproses pembaruan sistem.

Tingkat keparahan kelemahan ini diberi penilaian skor 8,1 dari total 10 berdasarkan skala standar CVSS oleh Wordfence. Dalam serangkaian simulasi laboratorium independen, celah waktu keterpaparan sistem hanya berlangsung selama rentang beberapa detik saja. Di lain sisi, dokumen panduan imbauan resmi dari pihak WordPress menetapkan kerentanan ini pada klasifikasi rendah.

Sejak awal pekan ini, baris kode yang diklaim sebagai modul eksploitasi fungsional untuk kerentanan tersebut telah beredar bebas di berbagai repositori publik GitHub. Salah seorang pengembang kode mengklaim bahwa peranti buatannya sanggup bekerja efektif pada web yang masih menggunakan pola nama folder terprediksi saat memproses paket pembaruan penuh. Kendati begitu, efektivitas keberhasilan skrip tersebut di lapangan hingga kini belum dapat diverifikasi secara independen.

Bagi para pemilik situs yang belum menerapkan pembaruan sistem pasca-peluncuran versi perbaikan, Wordfence menyarankan untuk mewaspadai indikasi kejanggalan sistem.

Dalam keterangannya kepada The Hacker News pada 6 November, Bayram menerangkan bahwa kerentanan paket parsial sepenuhnya bergantung pada komposisi berkas yang dikemas di dalamnya. Paket pembaruan parsial sejatinya hanya memuat berkas-berkas yang mengalami revisi di antara dua rilis terdekat. Jika berkas modul penginstal tidak termasuk di dalam perubahan itu, maka folder sementara mustahil dieksekusi sebagai sistem WordPress aktif, dan antarmuka instalasi tidak akan pernah bisa dibuka oleh penyerang.

Namun demikian, suatu situs tidak selalu mendapatkan paket pembaruan parsial meskipun paket tersebut tersedia di peladen resmi. WordPress akan beralih mengunduh paket instalasi penuh apabila berkas inti situs ditemukan tidak cocok dengan nilai checksum resmi atau ketika pengguna menjalankan mekanisme instalasi ulang.

Faktor penentu utama kerentanan ini, pungkas sang peneliti, bukanlah persoalan paket pembaruan parsial ataupun paket pembaruan penuh, melainkan apakah skrip pembaru yang telah tertanam di dalam situs tersebut telah mendapatkan perbaikan atau belum.