<p>CISA memasukkan kerentanan serius di WordPress Core ke katalog Known Exploited Vulnerabilities (KEV) setelah ada bukti bahwa penyerang sedang mencoba memanfaatkannya. Celah ini dilacak sebagai CVE-2026-119977, memiliki skor CVSS 8,1, dan dapat berujung pada eksekusi kode tanpa autentikasi.</p> <p>Masalahnya bukan berada di plugin tertentu. Ini adalah kondisi <em>time-of-check to time-of-use</em> (TOCTOU) pada proses pembaruan penuh WordPress. Saat core sedang memasang paket baru, file sementara ditempatkan di jalur staging yang dapat diakses melalui web. Penyerang berusaha memenangkan jeda singkat sebelum proses pembaruan selesai dan file sementara dibersihkan.</p> <h2>Jalur serangan muncul saat upgrade</h2> <p>WordPress menerangkan bahwa perbaikan untuk masalah ini sudah dirilis pada akhir Oktober. Kerentanan memengaruhi sejumlah versi core yang belum diperbarui, sementara patch tersedia melalui rilis 7.1.4 dan cabang pemeliharaan yang sesuai. Karena isu ini menyentuh proses upgrade, situs yang rutin melakukan pembaruan otomatis tetap perlu diperiksa: administrator harus memastikan versi akhir yang terpasang memang sudah menerima perbaikan.</p> <p>Analisis Wordfence yang dirujuk dalam laporan keamanan menggambarkan mekanismenya. Ketika full-package update berjalan, WordPress mengekstrak salinan baru ke direktori <code>wp-content/upgrade</code>. Salinan itu dapat berisi file installer seperti <code>setup-config.php</code>. Jika jalurnya bisa ditebak dan server membuat direktori staging tersebut dapat dibaca dari internet, penyerang dapat melakukan polling berulang untuk menemukan jendela ketika file itu tersedia.</p> <p>Jendelanya pendek, tetapi serangan race condition memang tidak harus nyaman bagi manusia. Script dapat mengirim permintaan berkali-kali, mencoba variasi nama direktori dan waktu yang berbeda. Wordfence sebelumnya mencatat puluhan ribu permintaan yang menargetkan jalur installer staging setelah detail teknis masalah beredar.</p> <h2>Patch bukan satu-satunya pekerjaan</h2> <p>Langkah utama bagi pemilik situs adalah memasang WordPress 7.1.4 atau pembaruan keamanan yang cocok dengan cabang yang digunakan. Setelah itu, periksa log web untuk permintaan tidak biasa menuju file PHP di bawah <code>wp-content/upgrade</code>. Pemeriksaan juga sebaiknya mencakup akun administrator baru, plugin asing, serta file PHP yang muncul tanpa perubahan yang diketahui.</p> <p>CISA memberi tenggat yang lebih ketat kepada badan sipil pemerintah federal Amerika Serikat: perbaikan harus diterapkan paling lambat 6 November 2026. Tenggat itu tidak otomatis berlaku bagi semua situs, tetapi penempatannya di katalog KEV adalah sinyal yang jelas bahwa administrator umum tidak seharusnya menunggu jadwal maintenance berikutnya.</p> <p>Administrator yang tidak dapat melakukan upgrade segera perlu membatasi akses publik ke direktori staging dan meninjau konfigurasi reverse proxy atau web server. Mitigasi semacam itu bukan pengganti patch. Kerentanan berada pada alur pembaruan core, sehingga perubahan konfigurasi hanya mengurangi peluang serangan pada kondisi tertentu.</p> <h2>Mengapa status KEV penting</h2> <p>Penambahan ke KEV membedakan CVE ini dari celah yang baru diuji di laboratorium. CISA menggunakan katalog tersebut untuk mencatat kerentanan yang memiliki bukti eksploitasi di dunia nyata dan meminta lembaga federal memprioritaskan perbaikannya. Bagi operator situs kecil, status ini berguna sebagai filter prioritas: jika sebuah WordPress belum ditambal, pekerjaan itu lebih mendesak daripada menunggu laporan serangan yang terlihat di dashboard.</p> <p>Inti masalahnya sederhana: proses update dapat membuka file sementara ke internet pada saat yang sangat singkat. Dalam sistem yang menjalankan PHP dan mengekspos direktori staging, singkat bukan berarti aman. Perbarui core, pastikan direktori staging tidak dapat diakses publik, lalu cari tanda-tanda eksploitasi di log dan filesystem.</p> <p><strong>Sumber utama:</strong> CISA, WordPress, dan advisory keamanan WordPress Core. <a href="https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog">https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog</a> <a href="https://wordpress.org/news/2026/10/wordpress-7-1-4/">https://wordpress.org/news/2026/10/wordpress-7-1-4/</a> <a href="https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-4w3m-c66w-69mg">https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-4w3m-c66w-69mg</a></p>