Sejumlah situs web berbasis WordPress dilaporkan masih berada dalam ancaman serangan siber saat menginstal pembaruan keamanan untuk menutup celah kritis yang sedang dieksploitasi secara aktif. Informasi mendesak ini diungkapkan secara langsung oleh Umut Bayram, seorang peneliti keamanan dari Picus Security yang pertama kali menemukan kerentanan berbahaya tersebut ke publik.
Mekanisme pembaruan yang bertugas memasang patch perbaikan ternyata masih mengekstrak seluruh berkas menggunakan basis kode lama yang belum ditambal pada sistem lokal. Kondisi teknis ini memungkinkan penyerang siber yang mengeksekusi serangan pada waktu bersamaan untuk menjalankan kode arbitrer langsung di peladen target. Oleh sebab itu, sang peneliti sangat menyarankan para administrator untuk segera memblokir akses publik ke direktori wp-content/upgrade sebelum memulai proses pembaruan apa pun.
Kelemahan sistem yang resmi dilacak di bawah kode CVE-2026-119977 ini memengaruhi ekosistem WordPress versi 4.7 hingga 7.1.3. Ketika sistem menjalankan pembaruan modul inti yang menggunakan bundel paket lengkap, WordPress secara otomatis mengekstrak salinan versi anyar ke dalam folder sementara yang berlokasi di dalam wp-content/upgrade. Salinan instalan tersebut memuat modul installer WordPress lengkap, dan direktori bersangkutan umumnya dapat diakses secara langsung oleh server web publik.
Pelaku kejahatan siber tanpa akun masuk yang sanggup menebak nama folder sementara serta mengakses installer sebelum WordPress menghapus salinan tersebut dapat mengambil alih kendali dengan menjalankan kode jahat di peladen. Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) bahkan secara resmi telah memasukkan kerentanan tersebut ke dalam katalog kerentanan tereksploitasi yang mereka kelola pada awal pekan ini.
Pihak pengembang WordPress sendiri telah mendistribusikan berkas perbaikan pekan lalu melalui rilis WordPress versi 7.1.4 beserta rangkaian pembaruan sepadan untuk cabang-cabang versi terdahulu hingga versi 4.7, sebagaimana seluruhnya telah dirinci secara lengkap dalam penasihat keamanan resmi mereka.
Perbaikan yang dihadirkan sebenarnya berfungsi memberikan nama acak unik pada folder sementara tersebut. Kendati demikian, prosedur pembaruan yang bertugas memasang patch tersebut tetap mengekstrak berkas menggunakan kode usang yang sudah tertanam di situs web, seperti yang terlihat jelas pada kode skrip pembaruan bawaan WordPress. Pada portal web yang menggunakan versi 5.9 atau yang lebih baru, kode lawas itu secara konsisten menamai folder berdasarkan berkas unduhan, sehingga namanya masih bisa ditebak untuk satu kesempatan terakhir.
Sebelum patch perbaikan diluncurkan, peretas dapat memanfaatkan skrip installer guna menyuntikkan dan menulis berkas konfigurasi baru bernama wp-config.php ke dalam direktori salinan sementara. Proses pembaruan kemudian secara otomatis akan menimpa berkas asli milik situs web dengan berkas konfigurasi manipulatif tersebut. Bagian penambal yang bertugas memblokir ancaman ini sejatinya sudah berfungsi selama pembaruan dipasang, karena pemindahan berkas ke direktori permanen sudah dikerjakan menggunakan mekanisme kode baru.
Kendati demikian, penyusup yang sukses memanfaatkan celah waktu sempit selama proses update masih bisa mengonfigurasi salinan sementara WordPress memakai basis data milik mereka sendiri, masuk ke sistem, lalu mengeksekusi kode skrip PHP dengan hak akses peladen web sebelum direktori dihapus, ungkap Bayram dalam laporan teknis resminya. Melalui pijakan awal ini, pihak peretas dapat dengan leluasa membaca maupun memodifikasi berkas-berkas penting pada situs WordPress yang sedang aktif.
Pihak yang Rentan Terdampak Selama Proses Pembaruan
Peneliti menegaskan bahwa tidak semua skenario pembaruan lantas mengekspos skrip installer ke jaringan publik. Paket pembaruan utuh berskala komprehensif dipastikan selalu mengikutsertakan seluruh berkas instalasi ke dalamnya. Sebaliknya, paket parsial berukuran lebih ringkas yang dirancang khusus untuk versi awal tertentu hanya akan menimbulkan risiko kerentanan apabila di dalamnya kebetulan memuat berkas-berkas instalasi tersebut.
Bagi situs web yang mengaktifkan fitur pembaruan otomatis di latar belakang, WordPress akan memasang tambalan keamanan secara otomatis melalui skrip pembaruan yang sama dengan langkah-langkah kerja yang serupa pula.
Media The Hacker News sempat memverifikasi cara kerja layanan pembaruan resmi di WordPress.org hari ini terhadap berbagai variasi versi. Untuk proses pembaruan dalam satu cabang rilis, misalnya dari versi 7.1.3 menuju 7.1.4, server mendistribusikan paket pembaruan parsial, termasuk bagi pembaruan otomatis. Namun, peralihan dari cabang versi yang jauh lebih lama, misalnya lompatan dari rilis 7.0.7 ke 7.1.4, sistem hanya menyediakan paket pembaruan lengkap.
Pada instalasi WordPress rilis 4.4 hingga 5.8, kode versi lawas menerapkan penambahan karakter acak pada penamaan folder sementara. Karakter acak tersebut secara efektif menyamarkan nama direktori kecuali sistem membocorkannya melalui cara tak terduga, misalnya paparan pesan eror sistem, papar sang peneliti lebih lanjut.
Begitu sistem berhasil memperbarui ke versi 7.1.4 atau menerapkan patch pada percabangan terkait, pembaruan di masa mendatang dipastikan menggunakan nama folder acak yang aman, dan berkas wp-config.php yang berada pada direktori sementara tidak akan pernah menimpa berkas konfigurasi situs yang sesungguhnya.
Langkah Pencegahan yang Harus Dilakukan Sebelum Memperbarui
Anjuran utama yang direkomendasikan peneliti adalah menghentikan server web agar tidak menyajikan akses ke direktori wp-content/upgrade sama sekali. WordPress memproses direktori tersebut secara langsung pada ruang penyimpanan lokal, sehingga penutupan akses dari web publik tidak akan mengganggu kelancaran proses instalasi pembaruan.
Pilihan alternatif lain yang dinilai aman adalah menerapkan proses pembaruan secara manual di luar direktori web root, yakni direktori utama yang disajikan oleh peladen web ke publik. Administrator dapat mencadangkan seluruh berkas situs dan basis data, mengekstrak arsip versi rilis baru ke direktori yang tidak diakses server web, menyalin seluruh berkas inti ke folder instalasi tanpa menyentuh wp-config.php maupun direktori wp-content, lalu menuntaskan pembaruan database WordPress. Prosedur ini menjamin tidak ada skrip installer sementara yang terbentuk di folder yang bisa diakses via peramban web.
Penggunaan perintah wp core update melalui antarmuka WP-CLI dipastikan bukan merupakan pengganti yang aman, mengingat utilitas ini tetap mengeksekusi skrip pembaruan bawaan yang serupa serta mengekstrak paket data ke dalam folder yang sama.
Bagi instalasi WordPress versi 4.6 ke bawah, pengembang sudah tidak lagi merilis dukungan pembaruan keamanan, sehingga sama sekali tidak tersedia penambal resmi. Peneliti mengingatkan bahwa akar permasalahan dari kerentanan ini bahkan sudah terlacak sejak rilis WordPress 2.7 pada 2008 silam, sehingga situs yang terdampak amat disarankan bermigrasi ke versi yang didukung.
Gelombang Serangan dan Hal-Hal yang Perlu Diperiksa
Pencantuman kerentanan ini ke dalam katalog peringatan CISA pada awal pekan didasarkan pada temuan bukti adanya eksploitasi aktif di dunia nyata, walaupun lembaga bersangkutan tidak menjabarkan rincian serangan secara mendalam.
Wordfence, korporasi keamanan WordPress yang menetapkan pengenal CVE untuk celah ini, mengidentifikasi kemunculan upaya penyerangan hanya sembilan menit setelah mereka menerapkan aturan firewall pelindung pada hari perilisan. Dua sumber serangan paling intensif tercatat memindai kelompok situs tertentu selama 14,5 jam berturut-turut, di mana Wordfence dalam laporan analisis serangannya menilai aktivitas itu selaras dengan taktik penyerang yang berusaha mencegat momentum saat situs web sedang melakukan pembaruan berkas.
Tingkat keparahan dari kerentanan ini memperoleh skor 8,1 dari skala 10 pada penghitungan standar CVSS dalam catatan CVE. Kendati dalam pengujian laboratorium celah kerentanan hanya terbuka selama hitungan detik, penasihat keamanan internal WordPress menggolongkan tingkat ancaman ini pada kategori rendah.
Di sisi lain, deretan kode yang diklaim para pengembangnya sebagai eksploit fungsional untuk membobol celah ini telah beredar secara terbuka di berbagai repositori publik GitHub sejak awal pekan. Salah seorang penyusun kode mengeklaim bahwa skrip buatannya bekerja ampuh pada situs web yang masih memproses folder berpola terbaca saat menginstal bundel paket lengkap. Meski begitu, validitas efektivitas kode tersebut sejauh ini belum terbukti secara pasti di lapangan.
Bagi pengelola situs web yang masih menjalankan versi terdampak pasca-rilis perbaikan resmi, pihak Wordfence merekomendasikan pemeriksaan menyeluruh pada log sistem.
Bayram menerangkan kepada The Hacker News pada 6 November bahwa paparan risiko pada pembaruan parsial sangat bergantung pada materi berkas di dalam paket terkait. Paket parsial hanya memuat berkas yang mengalami perubahan antar-dua versi rilis. Jika arsip itu tidak memuat berkas instalasi, direktori sementara mustahil dieksekusi sebagai instalasi WordPress mandiri, sehingga skrip installer tidak akan pernah dapat diakses publik.
Selain itu, sistem tidak selalu memperoleh paket pembaruan parsial meski opsi tersebut tersedia secara teknis. WordPress akan secara otomatis beralih menggunakan paket lengkap apabila berkas inti situs web terdeteksi tidak cocok dengan nilai checksum resmi atau saat pembaruan dijalankan sebagai prosedur instalasi ulang.
Faktor penentu utamanya, tegas sang peneliti keamanan, “bukan terletak pada apakah paketnya parsial atau lengkap. Faktor kuncinya adalah apakah modul skrip pembaruan yang sudah terpasang di situs web tersebut sudah diperbaiki atau belum.”
