Sejumlah situs web berbasis WordPress dilaporkan masih berada dalam risiko serangan siber tepat ketika mereka sedang menerapkan pembaruan untuk mengatasi celah keamanan yang tengah dieksploitasi secara aktif. Peringatan teknis ini disampaikan langsung oleh Umut Bayram, peneliti keamanan dari Picus Security yang mengidentifikasi kerentanan tersebut.
Proses pembaruan perangkat lunak yang bertugas memasang tambalan keamanan ternyata masih mengekstrak berkas instalasi menggunakan basis kode lama situs yang belum diperbaiki. Akibatnya, peretas yang melancarkan aksi dengan perhitungan waktu presisi dapat mengeksekusi kode berbahaya secara langsung di server target. Peneliti menyarankan para pengelola situs untuk memblokir akses publik berbasis web menuju direktori wp-content/upgrade sebelum prosedur pembaruan dimulai.
Kelemahan sistem yang dicatat di bawah identifikasi CVE-2026-119977 ini berdampak pada WordPress versi 4.7 hingga 7.1.3. Ketika pembaruan inti dijalankan memanfaatkan paket arsip lengkap (complete package), sistem WordPress membongkar salinan versi mutakhir ke dalam folder sementara di direktori wp-content/upgrade. Berkas salinan tersebut memuat modul instalasi WordPress aktif, dan komponen server web umumnya dapat mengakses serta memproses direktori itu secara langsung.
Aktor ancaman tanpa kredensial yang mampu menebak penamaan direktori sementara tersebut, lalu membuka antarmuka installer sebelum sistem WordPress sempat menghapus salinannya, berpeluang mengeksekusi kode di server target. Badan Keamanan Siber dan Keamanan Infrastruktur Amerika Serikat (CISA) telah memasukkan kerentanan ini ke dalam katalog Known Exploited Vulnerabilities pada awal pekan ini.
Pihak pengembang WordPress telah merilis paket penambal keamanan pada pekan lalu melalui peluncuran versi 7.1.4 beserta pembaruan pendamping untuk cabang versi terdahulu hingga versi 4.7, sebagaimana dirinci dalam laporan peringatan keamanan resmi mereka.
Mekanisme perbaikan tersebut kini memberikan nama acak dinamis pada direktori penyimpanan sementara. Kendati demikian, rutinitas pembaruan yang memasang tambalan itu pada mulanya tetap mengekstrak berkas arsip menggunakan kode lawas yang tertanam di situs web, seperti yang dipelajari dari peninjauan kode updater WordPress. Pada domain yang mengoperasikan rilis 5.9 ke atas, baris kode lawas menamai folder sementara sesuai nama berkas unduhan, sehingga susunan namanya dapat diprediksi untuk satu kali kesempatan terakhir.
Sebelum patch resmi dihadirkan, penyerang memiliki peluang memanfaatkan skrip installer untuk menyusun dokumen konfigurasi baru, yakni wp-config.php, langsung ke dalam folder salinan sementara tersebut. Selanjutnya, rutinitas pembaruan WordPress akan menimpa berkas asli milik situs menggunakan dokumen konfigurasi manipulatif tersebut. Bagian perbaikan yang bertugas mencegah peristiwa penimpaan konfigurasi ini sebenarnya sudah aktif bekerja saat proses pembaruan berjalan, sebab pemindahan berkas inti ke direktori permanen dikelola oleh logika kode baru.
Meskipun demikian, peretas yang berhasil memanfaatkan jeda waktu sempit selama proses pembaruan masih mampu mengonfigurasi salinan sementara WordPress menggunakan basis data milik mereka sendiri, masuk secara ilegal, dan mengeksekusi kode PHP menggunakan hak akses yang setara dengan izin proses server web sebelum berkas temporer dimusnahkan secara permanen, papar Bayram. Dari akses tersebut, penyusup dapat membaca, mencuri, maupun menulis berkas baru pada situs WordPress yang tengah beroperasi secara langsung.
Pihak yang Terpapar Risiko Selama Prosedur Pembaruan Berjalan
Peneliti menegaskan bahwa tidak semua mekanisme pembaruan otomatis mengekspos berkas antarmuka installer kepada publik. Paket instalasi lengkap dipastikan selalu memuat keseluruhan berkas installer. Sementara itu, paket pembaruan parsial yang ukurannya lebih ringkas dan dirancang khusus untuk satu versi awal tertentu hanya akan mengekspos kerentanan apabila paket tersebut menyertakan komponen instalasi terkait.
Bagi situs yang mengaktifkan fitur pembaruan otomatis di latar belakang, platform WordPress akan mengunduh dan menerapkan tambalan perbaikan melalui alur kerja updater yang serupa beserta tahapan eksekusi yang sama.
Tim The Hacker News melakukan pengujian terhadap server pembaruan resmi WordPress.org untuk memeriksa perilaku beberapa varian versi. Pada kasus pembaruan di dalam cabang rilis yang sama, contohnya lompatan dari edisi 7.1.3 ke 7.1.4, server mendistribusikan paket parsial, termasuk ketika dijalankan melalui pembaruan otomatis. Sebaliknya, perpindahan sistem dari cabang yang lebih lawas, semisal dari versi 7.0.7 langsung menuju 7.1.4, sistem menyalurkan paket pembaruan utuh.
Pada WordPress rilis 4.4 hingga 5.8, algoritma kode lawas menyematkan deretan karakter acak pada penamaan folder sementara. Pola acak ini menyembunyikan identitas direktori dari publik, kecuali apabila sistem membocorkannya secara tidak sengaja melalui celah lain, misalnya paparan pesan galat sistem pada layar, demikian penjelasan tambahan sang peneliti.
Setelah versi 7.1.4 atau paket tambalan cabang lama berhasil terpasang, siklus pembaruan di masa mendatang akan selalu memanfaatkan folder dengan penamaan acak, dan dokumen wp-config.php pada direktori sementara tidak akan menimpa berkas konfigurasi riil milik platform web.
Langkah Antisipasi yang Wajib Diterapkan Sebelum Memperbarui
Saran utama yang dianjurkan oleh peneliti keamanan ini adalah menghentikan server web agar tidak menyajikan konten apa pun dari folder wp-content/upgrade sama sekali. Mengingat WordPress mengelola pemrosesan berkas di direktori tersebut langsung pada tingkat penyimpanan piringan lokal (disk), pemblokiran akses permintaan protokol web dari luar tidak akan mengganggu kelancaran proses pembaruan perangkat lunak, urai Bayram.
Pilihan alternatif lain yang dinilai aman adalah menjalankan proses pembaruan secara manual di luar lingkungan web root, yaitu direktori utama yang disajikan oleh server ke internet. Pemilik situs disarankan mencadangkan seluruh berkas situs serta basis data, mengekstrak rilis terbaru pada direktori privat yang terisolasi dari jangkauan server web, menyalin berkas inti WordPress ke folder tujuan tanpa mengubah dokumen wp-config.php atau direktori wp-content yang ada, lalu menyudahi prosedur dengan mengeksekusi pembaruan basis data WordPress. Melalui protokol kerja ini, berkas installer sementara tidak akan tercipta di dalam direktori yang dapat dijangkau oleh pengguna internet publik.
Penggunaan utilitas baris perintah WP-CLI melalui perintah wp core update bukan merupakan solusi pencegahan pengganti, lantaran utilitas ini tetap mengeksekusi logika updater bawaan yang sama serta membongkar paket instalasi ke dalam direktori penyimpanan sementara yang serupa.
Di sisi lain, instalasi WordPress varian 4.6 beserta seluruh versi pendahulunya sudah lama tidak lagi menerima jaminan tambalan keamanan resmi, sehingga tidak tersedia perbaikan untuk platform tersebut. Peneliti Picus Security mengungkapkan bahwa akar kecacatan arsitektur ini telah berakar sejak perilisan WordPress versi 2.7 pada tahun 2008 silam, dan para pemilik sistem terkait didorong untuk segera beralih menuju versi perangkat lunak yang masih didukung.
Riwayat Gelombang Serangan dan Analisis Kerentanan
Keputusan CISA dalam menambahkan kelemahan ini ke katalog berpijak pada temuan bukti nyata eksploitasi aktif di lapangan, kendati institusi tersebut tidak menguraikan secara mendalam bagaimana pola teknis penyerangan dilancarkan.
Wordfence, otoritas penerbit identitas CVE tersebut, mendeteksi serangkaian upaya penyerangan agresif yang mulai terdeteksi berselang sembilan menit setelah mereka menerapkan aturan filter firewall khusus pada tanggal peluncuran patch perbaikan. Dua sumber lalu lintas mencurigakan yang paling aktif terpantau terus-menerus memindai kluster situs web berskala kecil selama kurang lebih 14,5 jam tanpa henti. Menurut Wordfence, manuver ini selaras dengan taktik peretas yang berupaya menyergap momen tatkala sebuah situs tengah melangsungkan proses pembaruan inti.
Wordfence menetapkan skor tingkat keparahan celah ini sebesar 8,1 pada metrik CVSS di catatan resmi CVE. Berdasarkan pengujian laboratorium mereka, celah tersebut biasanya hanya terbuka selama beberapa detik saat proses berlangsung. Dokumen buletin resmi yang diterbitkan internal WordPress mengklasifikasikan tingkat ancaman dari kerentanan ini pada kategori berisiko rendah (low).
Sejak awal pekan ini, serangkaian skrip eksploitasi yang diklaim sebagai kode penembus celah keamanan ini bermunculan di repositori GitHub. Salah seorang pengembang menyatakan perkakasnya sanggup menembus situs web yang masih memproses paket instalasi penuh dengan penamaan folder yang dapat ditebak. Namun, efektivitas skrip-skrip publik tersebut belum dapat divalidasi secara independen.
Dalam keterangan yang disampaikan langsung kepada The Hacker News pada 6 November, Bayram memaparkan bahwa kerentanan pada pembaruan parsial sangat bergantung pada materi berkas yang dibawa oleh paket spesifik itu sendiri. Sebuah paket parsial hanya merangkum arsip yang mengalami modifikasi teknis di antara rentang dua edisi versi. Apabila perubahan tersebut tidak melibatkan berkas sistem installer, direktori salinan sementara tidak dapat dieksekusi sebagai instalasi WordPress yang fungsional, sehingga antarmuka installer tidak dapat diakses dari luar.
Selain itu, domain web tidak serta-merta selalu memperoleh paket pembaruan parsial kendati paket tersebut secara teoritis tersedia. Mekanisme WordPress akan secara otomatis mengalihkan proses menuju unduhan paket penuh apabila verifikasi checksum berkas inti milik situs tidak cocok dengan catatan checksum resmi, atau apabila tindakan yang dipicu pengguna merupakan perintah instalasi ulang (reinstall).
Faktor penentu utama kerentanan ini, pungkas peneliti tersebut menegaskan, "bukanlah persoalan antara paket parsial melawan paket lengkap. Hal yang paling mendasar adalah apakah modul penginstal pembaruan yang tertanam pada situs web tersebut sudah diperbaiki atau belum."
About the Author
