Celah WordPress Core CVSS 8,1 Masuk Daftar KEV CISA, Penyerang Menyasar Jendela Pembaruan Situs

Situs WordPress bisa rentan justru pada saat pemiliknya melakukan hal yang benar: memperbarui. Celah baru ini hanya "hidup" selama proses pembaruan inti berlangsung.

Badan Keamanan Siber dan Infrastruktur AS (CISA) menambahkan celah WordPress Core bernomor CVE-2026-119977 ke katalog Known Exploited Vulnerabilities (KEV) pada Selasa (3/11/2026), dengan alasan sudah ada bukti eksploitasi aktif. Celah itu bernilai CVSS 8,1 dan masuk kategori tinggi, menurut laporan The Hacker News pada Rabu (4/11/2026). Lembaga federal sipil AS diberi tenggat hingga Jumat (6/11/2026) untuk menerapkan perbaikan.

Race condition di jalur staging yang mudah ditebak

Kelemahan ini berjenis time-of-check time-of-use (TOCTOU), yaitu kondisi balapan saat sistem memeriksa sesuatu lalu memakainya, dan ada celah waktu di antara keduanya. Menurut CISA, seperti dikutip The Hacker News, WordPress Core memuat kerentanan yang "could allow unauthenticated attackers to execute code on the server during the upgrade window", yang disebabkan oleh "predictable, web-accessible staging paths used during full-package core upgrades".

Artinya penyerang tidak perlu akun. Ia hanya perlu menembak jalur staging tepat ketika pembaruan paket penuh sedang berjalan. Firma keamanan Wordfence, masih menurut The Hacker News, menyebut eksploitasi memerlukan penyerang yang menyerang jendela singkat selama pembaruan inti dilakukan.

Rujukan sekunder dari nFlo menyebut versi terdampak adalah WordPress Core 4.7 sampai 7.1.3, dengan anjuran memperbarui ke versi yang lebih baru dari 7.1.3. Nomor versi perbaikan yang pasti tidak dicantumkan di sana, sehingga pengelola situs perlu merujuk pengumuman resmi WordPress.

Nilai CVSS 8,1 menempatkan celah ini di bawah kategori kritis, tetapi syaratnya yang ringan membuatnya tetap berbahaya. Tidak ada kata sandi yang perlu ditebak dan tidak ada plugin pihak ketiga yang perlu dipasang, karena yang terdampak adalah inti WordPress sendiri. Rujukan nFlo menunjuk berkas class-core-upgrader.php pada versi 7.1.3 sebagai lokasi kode yang relevan, dan data resminya tersimpan di rekam CVE-2026-119977.

Ribuan permintaan dalam hitungan jam

Aktivitas serangan sudah tercatat. Wordfence melaporkan lebih dari 18.500 permintaan dalam 21 jam pertama setelah pengungkapan, menyasar jalur instalasi staging bernama setup-config.php. Saat artikel The Hacker News ditulis, Wordfence sudah memblokir 12.632 serangan dalam 24 jam terakhir.

Perusahaan lain, Previdian, mencatat tiga percobaan eksploitasi pada sensor honeypot miliknya, yaitu sistem umpan untuk memancing penyerang, pada 30 Oktober 2026. Alamat IP-nya berlokasi di Inggris. Patch sendiri sudah dirilis pada akhir Oktober, menurut The Hacker News.

Apa yang perlu dicek pengelola situs

Mitigasi yang disarankan nFlo berfokus pada dua hal. Pertama, pembaruan dijalankan pada jendela pemeliharaan, dengan akses internet ke direktori wp-admin dan wp-content/upgrade dibatasi sementara. Kedua, setelah pembaruan selesai, server diperiksa dari berkas PHP yang tidak dikenal di dalam direktori WordPress.

nFlo juga menyarankan pemeriksaan menyeluruh atas semua situs WordPress di organisasi, termasuk yang dikelola agensi dan penyedia hosting. EPSS, skor yang memperkirakan peluang eksploitasi dalam 30 hari ke depan, baru 0,6 persen menurut nFlo. Angka itu rendah, tetapi statusnya di KEV menunjukkan serangan nyata sudah terjadi.

Soal kaitan dengan kampanye ransomware, rujukan nFlo mencatat statusnya "tidak terkonfirmasi".

Yang masih belum jelas

Pertanyaan terbuka berikutnya ada pada ukuran dampaknya: berapa banyak situs yang benar-benar dibobol, dan apakah ada yang menjalankan pembaruan otomatis tepat saat penyerang menunggu. Sejauh ini yang dipublikasikan baru jumlah permintaan serangan dan percobaan di honeypot, bukan jumlah situs yang berhasil dikuasai. Tenggat 6 November untuk lembaga federal AS akan menjadi penanda pertama seberapa cepat pengelola situs besar bergerak.