Sejumlah situs web berbasis WordPress dilaporkan masih berada dalam ancaman serangan siber saat memasang pembaruan tambalan untuk celah keamanan yang saat ini sedang aktif dieksploitasi. Temuan ini dikemukakan oleh Umut Bayram, peneliti keamanan dari Picus Security yang pertama kali mengidentifikasi kerentanan tersebut.
Proses pembaruan perangkat lunak yang memasang patch tersebut ternyata masih mengekstrak berkas menggunakan kode usang situs yang belum tertambal. Situasi ini memungkinkan penyerang siber yang melancarkan serangan tepat waktu untuk menjalankan kode berbahaya di server target. Peneliti menyarankan para pengelola situs segera memblokir akses web publik menuju direktori wp-content/upgrade sebelum proses pembaruan dimulai.
Kelemahan sistem yang terdaftar dengan identitas CVE-2026-119977 memengaruhi WordPress mulai dari rilis versi 4.7 hingga rilis versi 7.1.3. Selama pelaksanaan pembaruan sistem inti yang memanfaatkan berkas paket lengkap, WordPress membongkar seluruh salinan versi sistem baru ke folder sementara di dalam lokasi wp-content/upgrade. Salinan pembaruan tersebut memuat installer instalasi WordPress, dan server web umumnya dapat membuka serta mengakses berkas tersebut secara terbuka.
Penyerang siber tanpa hak akses yang sanggup menebak nama folder serta mengakses antarmuka installer sebelum WordPress sempat menghapus salinan sementaranya dapat mengambil kendali dan menjalankan kode di server. Lembaga Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) telah memasukkan kerentanan ini ke dalam katalog Known Exploited Vulnerabilities pada awal pekan ini.
Pihak pengembang WordPress telah mendistribusikan perbaikan resmi pada pekan lalu di versi 7.1.4, beserta pembaruan untuk cabang versi terdahulu hingga versi 4.7, sebagaimana tercantum dalam rilis penasihat keamanan resmi mereka.
Patch perbaikan tersebut menetapkan susunan nama acak pada folder sementara. Kendati demikian, mekanisme pembaruan yang bertugas memasang perbaikan masih membuka paket berkas memakai kode lama yang tertanam di situs web, seperti yang dapat dipantau dalam struktur kode updater milik WordPress. Pada berbagai situs web yang menjalankan WordPress versi 5.9 atau varian lebih baru, kode lama tersebut selalu menamai folder sementara berdasarkan nama berkas arsip yang diunduh, sehingga pola nama direktori masih dapat diprediksi secara tepat untuk satu kali terakhir.
Sebelum patch keamanan resmi dirilis, penyerang bisa memanfaatkan skrip installer untuk menuliskan konfigurasi baru berupa berkas wp-config.php ke folder salinan sementara tersebut. Langkah pembaruan selanjutnya kemudian menimpa berkas konfigurasi asli situs dengan berkas buatan penyerang. Bagian dari mekanisme perbaikan yang berfungsi menangkal tindakan ini sudah bekerja aktif selama proses pembaruan patch berlangsung, lantaran WordPress memindahkan dan menempatkan berkas ke lokasi permanen menggunakan logika kode baru yang telah dimutakhirkan.
Peretas yang sukses memanfaatkan jendela waktu krusial selama proses pembaruan berlangsung masih memiliki peluang mengonfigurasi salinan WordPress sementara memakai basis data milik mereka sendiri, masuk log ke antarmuka sistemnya, serta menjalankan eksekusi skrip PHP memakai hak izin server web sebelum direktori salinan dihapus otomatis, terang Bayram dalam laporan teknisnya. Dari posisi tersebut, peretas sanggup membaca maupun mengubah berbagai berkas di instalasi situs WordPress aktif.
Pihak yang Rentan Terdampak Selama Pembaruan
Mekanisme pembaruan tidak selalu mengekspos berkas installer kepada publik, papar peneliti lebih lanjut. Paket instalasi lengkap dipastikan selalu memuat berkas installer WordPress. Sementara itu, paket pembaruan parsial berukuran lebih kecil, yang dirancang khusus memperbarui versi awal tertentu ke versi tujuan, hanya akan mengekspos situs apabila paket khusus tersebut kebetulan memang menyertakan berkas installer di dalamnya.
Pada situs yang mengaktifkan fitur pembaruan otomatis di latar belakang, sistem WordPress mengunduh dan memasang patch ini secara mandiri memakai skrip updater serta urutan langkah pemrosesan yang serupa.
Redaksi The Hacker News telah memeriksa layanan pembaruan resmi WordPress.org hari ini pada beberapa tingkatan versi. Untuk pembaruan versi di dalam cabang generasi yang sama, semisal peningkatan dari 7.1.3 menuju 7.1.4, layanan tersebut menyediakan paket parsial, termasuk untuk pembaruan otomatis. Sebaliknya, perpindahan dari cabang rilis lawas, semisal dari versi 7.0.7 langsung ke rilis 7.1.4, sistem hanya menyajikan paket instalasi lengkap seutuhnya.
Pada WordPress versi 4.4 sampai rilis 5.8, basis kode lawas secara bawaan menyematkan karakter acak tambahan pada penamaan foldernya. Karakter acak tersebut berhasil menyamarkan nama direktori, terkecuali bila situs membocorkannya melalui cara tak terduga lain, seperti tampilnya pesan galat sistem secara terbuka, jelas peneliti.
Segera setelah versi 7.1.4 ataupun paket pembaruan cabang selesai terpasang, tahapan pembaruan sistem berikutnya dipastikan menggunakan nama folder sementara yang acak, dan berkas wp-config.php yang berpotensi berada di salinan sementara tidak akan pernah lagi menimpa berkas konfigurasi utama asli.
Langkah Tindakan yang Perlu Diambil Sebelum Memperbarui
Anjuran utama dari sang peneliti adalah menghentikan server web agar sama sekali tidak melayani akses publik terhadap folder wp-content/upgrade. Mengingat WordPress mengelola dan memproses direktori tersebut langsung di tingkat disk server lokal, membatasi akses dari penjelajah web publik tidak akan mengganggu kelancaran proses pembaruan sistem yang berjalan, ujarnya.
Opsi aman lainnya adalah menjalankan pembaruan manual di luar direktori web root, yaitu folder yang diekspos server ke jaringan web. Buat cadangan penuh seluruh berkas situs dan basis data, ekstrak arsip rilis perangkat lunak baru di dalam direktori penyimpanan yang tidak dilayani server web, salin berkas inti WordPress ke folder situs tanpa menyentuh berkas wp-config.php atau folder wp-content, lalu lanjutkan mengeksekusi skrip pembaruan basis data WordPress. Dengan alur kerja manual ini, berkas installer sementara tidak akan tercipta di folder yang dapat dijangkau pengunjung web.
Penggunaan perintah baris wp core update melalui WP-CLI tidak dapat dijadikan alternatif pencegahan, dikarenakan utilitas tersebut mengeksekusi mekanisme updater yang sama dan tetap membongkar arsip paket instalasi ke dalam folder tujuan yang serupa.
WordPress 4.6 dan seluruh varian versi sebelumnya sudah tidak lagi memperoleh dukungan pembaruan keamanan, sehingga pembaruan patch resmi tidak tersedia untuk ekosistem tersebut. Peneliti memaparkan bahwa riwayat kelemahan keamanan ini berakar jauh hingga rilis WordPress versi 2.7 yang diperkenalkan pada tahun 2008, dan seluruh situs terdampak disarankan segera beralih ke versi yang masih menerima pemeliharaan resmi.
Kondisi Serangan dan Hal-Hal yang Wajib Diperiksa
Pencantuman kerentanan ini ke dalam katalog CISA didasari adanya bukti konkret mengenai eksploitasi aktif di dunia maya, kendati badan pemerintah tersebut tidak merinci pola serangan yang ditemukan.
Wordfence, entitas keamanan WordPress yang menetapkan penomoran CVE untuk kasus ini, mencatat upaya penyerangan perdana dimulai sembilan menit setelah mereka menerapkan aturan firewall pelindung pada hari rilis perbaikan diluncurkan. Dua sumber aktivitas tersibuk dilaporkan secara konsisten memindai dan memeriksa kelompok situs kecil selama rentang waktu kurang lebih 14,5 jam, yang menurut Wordfence dalam analisis serangannya, sangat selaras dengan taktik penyerang yang berusaha menangkap momen saat target sedang memperbarui sistemnya.
Tingkat keparahan kelemahan ini ditetapkan Wordfence dengan skor mencapai 8,1 dari skala 10 pada skala CVSS. Di dalam pengujian laboratorium internal mereka, jendela waktu kerentanan yang terbuka hanya berlangsung selama hitungan detik. Di sisi lain, laporan evaluasi resmi dari tim WordPress mengelompokkan risiko kerentanan ini ke dalam kategori tingkat bahaya rendah.
Sejak permulaan pekan ini, skrip kode yang diklaim perancangnya sebagai kode eksploitasi fungsional untuk kerentanan tersebut telah bermunculan di repositori terbuka GitHub. Salah satu pembuat kode mengklaim skrip karyanya mampu bekerja efektif pada situs yang masih menerapkan penamaan folder terprediksi sewaktu pembaruan paket lengkap dijalankan. Tingkat keberhasilan fungsi dari kode-kode yang beredar luas itu sejauh ini belum dapat dipastikan secara independen.
Wordfence juga memberikan arahan indikator yang patut diwaspadai bagi pemilik situs yang belum berpindah dari versi rentan pasca peluncuran perbaikan.
Bayram memberikan keterangan kepada The Hacker News pada 6 November bahwa tingkat risiko keterpaparan pembaruan parsial sangat bergantung pada materi berkas yang dimuat di dalam paket pembaruan tersebut. Paket parsial pada dasarnya hanya menghimpun komponen berkas yang mengalami perubahan di antara dua rilis terkait. Apabila paket pembaruan tidak mengikutsertakan berkas installer, salinan sistem sementara tidak akan dapat diaktifkan sebagai instalasi WordPress fungsional, dan skrip installer tidak dapat diakses dari luar.
Selain itu, sistem situs web tidak selalu otomatis memperoleh paket pembaruan parsial meskipun paket tersebut tersedia di server pusat. WordPress akan otomatis mengalihkan proses ke paket pembaruan lengkap apabila berkas sistem inti milik situs tidak cocok dengan nilai verifikasi checksum resmi atau ketika pembaruan dijalankan dalam bentuk instalasi ulang penuh.
Faktor penentu utamanya, tegas peneliti keamanan tersebut, “bukanlah persoalan antara paket parsial melawan paket lengkap. Hal ini sepenuhnya ditentukan oleh apakah modul updater yang telah terpasang di situs web tersebut sudah diperbaiki atau belum.”
