Sejumlah situs web berbasis WordPress masih rentan terhadap serangan siber tepat ketika mereka sedang memasang berkas perbaikan untuk sebuah celah keamanan yang saat ini dieksploitasi secara aktif. Informasi peringatan teknis ini disampaikan secara langsung oleh Umut Bayram, peneliti keamanan siber dari Picus Security yang pertama kali menemukan kerentanan berbahaya tersebut.
Proses pembaruan sistem yang bertugas memasang berkas tambalan ternyata masih mengekstrak seluruh paket menggunakan kode lama situs yang belum diperbaiki. Akibatnya, peretas yang melancarkan aksi pada momentum yang sangat tepat dapat mengeksekusi kode berbahaya di peladen web. Sang peneliti keamanan sangat menyarankan pemilik situs untuk segera menutup total akses peramban menuju direktori wp-content/upgrade sebelum proses pembaruan dijalankan.
Celah keamanan yang diidentifikasi secara resmi sebagai CVE-2026-119977 ini berdampak luas pada sistem WordPress versi 4.7 sampai dengan versi 7.1.3. Ketika sistem menjalankan pembaruan inti menggunakan paket instalasi lengkap, WordPress secara otomatis mengekstrak salinan versi anyar ke dalam sebuah folder penampungan sementara di dalam direktori wp-content/upgrade. Salinan berkas yang diekstrak tersebut memuat skrip penginstal WordPress, dan umumnya direktori tersebut dapat dijangkau bebas oleh peladen web publik.
Pelaku peretasan tanpa hak akses akun yang berhasil menebak nama folder sementara tersebut serta mengakses skrip penginstal sebelum WordPress menghapus salinannya bisa memperoleh akses eksekusi kode di peladen. Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) telah memasukkan kerentanan berbahaya ini ke dalam katalog kerentanan tereksploitasi yang mereka ketahui secara resmi pada awal pekan ini.
Pihak pengembang WordPress sendiri telah meluncurkan berkas perbaikan resmi pada pekan lalu di versi 7.1.4, disertai pembaruan serupa untuk cabang versi rilis terdahulu hingga versi 4.7, yang seluruhnya telah dipublikasikan secara lengkap dalam penasihat keamanan resmi mereka.
Solusi perbaikan tersebut sebenarnya bekerja dengan cara memberikan identitas nama acak pada folder sementara. Akan tetapi, pembaruan yang bertugas memasang tambalan awal masih mengekstrak data menggunakan kode usang yang sudah terpasang di situs, sebagaimana diperlihatkan dalam dokumentasi kode pembaru milik WordPress. Pada instalasi situs yang menjalankan versi 5.9 atau yang lebih baru, kode lawas tersebut menamai folder sesuai dengan berkas unduhan, sehingga nama direktori sementara masih dapat diprediksi untuk satu kesempatan pembaruan terakhir.
Sebelum adanya perbaikan sistemik ini, peretas dapat memanfaatkan skrip penginstal untuk menyisipkan berkas konfigurasi baru, yakni wp-config.php, ke dalam salinan folder sementara tersebut. Mekanisme pembaruan kemudian secara otomatis menimpa berkas asli milik situs dengan berkas konfigurasi berbahaya tersebut. Bagian dari tambalan yang menghentikan aksi penimpaan ini memang sudah berfungsi saat pembaruan dipasang, karena WordPress memindahkan berkas-berkas tersebut menggunakan instruksi kode baru.
Kendati demikian, peretas yang berhasil memanfaatkan jeda waktu selama pembaruan berlangsung masih bisa menyetel instalasi salinan sementara WordPress menggunakan basis data milik mereka sendiri, masuk ke sistem, lalu mengeksekusi instruksi kode PHP menggunakan izin peladen web sebelum direktori sementara terhapus permanen, terang Bayram dalam tulisan teknisnya. Dari posisi strategis tersebut, penyerang memiliki kemampuan penuh untuk membaca atau memodifikasi berkas-berkas krusial pada situs WordPress utama.
Pihak yang Terekspos Selama Berlangsungnya Pembaruan
Tidak setiap skenario pembaruan lantas mengekspos skrip penginstal secara terbuka, jelas peneliti siber tersebut. Paket instalasi penuh dipastikan selalu menyertakan berkas penginstal bawaan. Sementara itu, paket parsial berukuran lebih ringkas yang dibangun khusus untuk versi asal tertentu hanya akan membahayakan situs apabila di dalamnya kebetulan memuat komponen penginstal tersebut.
Pada situs-situs yang mengaktifkan fitur pembaruan otomatis di latar belakang, WordPress akan memasang perbaikan secara mandiri melalui mekanisme pembaru yang sama serta tahapan pengerjaan yang identik.
Redaksi The Hacker News melakukan pengujian terhadap layanan pembaruan WordPress.org hari ini untuk memeriksa beberapa versi berbeda. Untuk pembaruan dalam cabang versi yang sama, semisal transisi dari 7.1.3 menuju 7.1.4, sistem menyediakan paket parsial, termasuk untuk skema otomatisasi pembaruan. Namun untuk migrasi dari cabang yang lebih lama, seperti peralihan dari versi 7.0.7 ke 7.1.4, repositori hanya menyuguhkan paket pembaruan lengkap.
Pada WordPress versi 4.4 sampai 5.8, kode lama secara bawaan menyematkan deretan karakter acak pada penamaan folder sementara. Pola acak tersebut efektif menyembunyikan identitas folder terkecuali jika situs membocorkannya melalui cara lain, seperti kemunculan teks pesan galat sistem, ungkap sang peneliti.
Begitu sistem versi 7.1.4 atau tambalan cabang terkait berhasil terpasang sempurna, pembaruan di masa mendatang akan selalu memakai nama folder acak, dan berkas wp-config.php yang berada pada salinan sementara tidak akan pernah diizinkan menimpa berkas asli situs.
Langkah Antisipasi yang Wajib Dilakukan Sebelum Pembaruan
Rekomendasi utama yang disarankan oleh peneliti keamanan adalah memblokir peladen web agar tidak menyajikan konten direktori wp-content/upgrade sama sekali ke ranah publik. WordPress bekerja memproses folder tersebut secara langsung pada media penyimpanan fisik lokal, sehingga menutup akses web publik tidak akan merusak proses pembaruan aplikasi, paparnya.
Jalur alternatif yang dinilai sangat aman, lanjutnya, adalah melakukan pembaruan manual di luar direktori web root, yakni folder yang disajikan langsung oleh peladen web. Cadangkan seluruh berkas situs beserta basis data, ekstrak rilis versi baru di folder lokal yang tidak bisa diakses publik, salin berkas inti ke lokasi produksi tanpa menyentuh wp-config.php maupun direktori wp-content, kemudian jalankan pembaruan basis data WordPress. Melalui metode ini, skrip penginstal sementara tidak akan pernah dibuat di dalam direktori yang dapat dijangkau oleh jaringan luar.
Penggunaan perintah baris wp core update pada WP-CLI sama sekali bukan solusi pengganti yang aman, karena perintah tersebut menjalankan mekanisme pembaru yang persis sama dan tetap mengekstrak paket instalasi ke dalam folder penampungan yang serupa.
Adapun instalasi WordPress versi 4.6 dan edisi yang lebih lawas saat ini sudah tidak lagi menerima pembaruan keamanan resmi, sehingga tidak tersedia perbaikan apa pun bagi versi tersebut. Peneliti mencatat bahwa kelemahan mendasar ini sudah berakar sejak WordPress versi 2.7 yang dirilis pada tahun 2008 silam, sehingga para pengelola situs tersebut sangat diwajibkan untuk segera bermigrasi ke versi rilis yang masih didukung.
Serangan Siber Nyata dan Parameter yang Perlu Diperiksa
Langkah penambahan kerentanan ke dalam katalog CISA pada awal pekan ini didasarkan atas bukti konkret adanya eksploitasi aktif di dunia nyata, meskipun lembaga keamanan federal tersebut tidak membeberkan rincian spesifik mengenai pola serangan yang berlangsung.
Wordfence, perusahaan keamanan ekosistem WordPress yang menerbitkan pengenal CVE resmi untuk celah ini, memantau upaya serangan mulai bermunculan sembilan menit setelah mereka menerapkan aturan dinding api untuk kerentanan tersebut pada hari peluncuran tambalan. Dua sumber serangan paling intensif tercatat memindai kelompok-kelompok situs kecil selama rentang waktu 14,5 jam, yang menurut analisis serangan perusahaan selaras dengan upaya penyerang memburu momen ketika target sedang memperbarui sistem.
Skor tingkat keparahan celah ini pada catatan CVE dipatok pada angka 8,1 dari skala 10 menurut sistem penilaian CVSS. Dalam serangkaian pengujian laboratorium mereka, celah jendela waktu serangan hanya bertahan selama hitungan detik saja. Sebaliknya, laporan penasihat internal WordPress justru mengklasifikasikan kerentanan ini pada tingkat risiko rendah.
Potongan kode yang diklaim oleh pembuatnya sebagai program eksploitasi fungsional untuk kerentanan ini telah beredar luas pada repositori publik GitHub sejak awal pekan ini. Salah seorang pembuat menyebut kodenya sanggup mengeksploitasi situs yang masih menghasilkan direktori berkas yang dapat ditebak saat pembaruan paket lengkap berlangsung. Kendati demikian, keandalan efektivitas kode tersebut di lapangan belum dapat dipastikan secara independen.
Bagi pengelola situs web yang masih bertahan pada versi terdampak pasca peluncuran tambalan perbaikan, pihak Wordfence merekomendasikan pemeriksaan menyeluruh terhadap tanda-tanda anomali pada sistem:
Bayram menerangkan kepada The Hacker News pada tanggal 6 November bahwa risiko keterpaparan pembaruan parsial sangat bergantung pada materi berkas yang ada di dalam paket bersangkutan. Paket parsial semata-mata hanya memuat daftar berkas yang mengalami perubahan di antara dua edisi rilis. Jika paket tersebut tidak mencakup berkas komponen penginstal, salinan sementara tidak akan dapat berfungsi layaknya sistem instalasi WordPress mandiri, sehingga skrip penginstal sama sekali tidak akan bisa diakses dari luar.
Di samping itu, sebuah situs tidak selamanya menerima paket parsial meskipun berkas tersebut sebenarnya tersedia pada repositori unduhan resmi. WordPress secara otomatis akan beralih mengambil paket instalasi lengkap apabila berkas inti situs ditemukan tidak cocok dengan nilai checksum resmi atau ketika pembaruan yang dijalankan berupa proses instalasi ulang sistem.
Unsur penentu paling mutlak dalam skenario ini, tegas sang peneliti, "bukanlah persoalan paket parsial versus paket lengkap. Kuncinya terletak pada apakah modul pembaru yang telah terpasang di situs web tersebut sudah diperbaiki atau belum."
