Pada 3 November 2026, CISA memasukkan celah WordPress Core dengan kode CVE-2026-119977 ke katalog Known Exploited Vulnerabilities. Artinya CISA punya bukti celah ini sudah dipakai menyerang, bukan sekadar teori di laporan peneliti. Yang membuat kami berhenti membaca: celahnya hidup di momen yang paling sering dianggap aman, yaitu saat WordPress sedang memperbarui dirinya sendiri.
Kalau Anda punya website toko, kafe, atau katalog usaha di WordPress, tulisan ini untuk Anda. Istilah teknisnya kami jelaskan, dan semua tanggal bisa Anda cek sendiri di sumbernya.
Kronologi: dari rilis perbaikan sampai tenggat CISA
Pada 28 Oktober 2026, WordPress.org merilis versi 7.1.4 sebagai security release. Di daftar perbaikannya ada satu butir yang kini jadi pusat perhatian: kelemahan di proses upgrade WordPress yang bisa berujung pada remote code execution, yaitu penyerang bisa menjalankan kode di server Anda dari jauh. Butir itu dikreditkan ke peneliti bernama Umut Bayram. WordPress.org juga menulis bahwa perbaikan keamanan dibawa ke semua cabang yang masih memenuhi syarat, saat ini sampai cabang 4.7.
Setelah detailnya terbuka, Wordfence mencatat lebih dari 18.500 request yang menyasar jalur instalasi sementara WordPress dalam 21 jam pertama. Angka itu datang dari perusahaan keamanan dan dikutip Qualys, bukan dari WordPress sendiri.
Pada 3 November, CISA menambahkan CVE-2026-119977 ke katalog dengan tenggat 6 November 2026. Tenggat itu berlaku untuk instansi sipil federal Amerika Serikat di bawah arahan BOD 26-04, jadi bukan kewajiban hukum bagi usaha Anda di Indonesia. Tapi sebagai patokan, tenggatnya masuk akal: kalau lembaga yang mengurus ribuan sistem diminta beres dalam tiga hari, toko online Anda tidak perlu menunggu lebih lama. Hari ini 4 November, jadi tenggat itu tinggal dua hari lagi.
Apa yang sebenarnya terjadi saat upgrade
Celah ini masuk kategori time-of-check to time-of-use, disingkat TOCTOU, salah satu jenis race condition. Bayangkan toko yang membuka pintu belakang sebentar untuk bongkar muat. Pintunya dikunci lagi setelah barang masuk, tapi di antara dibuka dan dikunci ada jeda. Orang yang tahu jamnya bisa menyelinap.
Di WordPress, jeda itu muncul saat upgrade penuh. File pemasangan diekstrak untuk sementara, dan menurut Qualys, jalurnya bisa ditebak dan bisa dijangkau lewat web. Penyerang tidak perlu akun. Ia cukup meminta file itu di saat yang tepat, dan hasilnya bisa berupa kode yang jalan di server Anda. Menurut Wordfence, celah ini hanya bisa dimanfaatkan selama proses pembaruan penuh sedang berlangsung.
Dua hal perlu dijaga supaya tidak salah paham. Pertama, ini bukan berarti semua situs WordPress sedang dibobol sekarang. Kedua, "jendelanya sempit" bukan alasan untuk santai: jendela itu terbuka setiap kali situs memperbarui diri, dan sudah ada pihak yang rajin mengetuk.
Angka yang perlu dibaca hati-hati
Pemberitaannya penuh angka, dan sebagian gampang disalahartikan. Selain 18.500 request tadi, Wordfence melaporkan 12.632 percobaan serangan yang diblokir dalam 24 jam saat laporan ditulis. Itu hitungan percobaan, bukan hitungan situs yang berhasil dibobol. Laporan yang kami baca belum menyebut jumlah situs yang terbukti jebol.
Skor keparahannya juga belum seragam. Beberapa laporan menyebut CVSS 8,1 (kategori tinggi), tapi angka itu muncul di pemberitaan, bukan di entri katalog CISA yang kami buka. CISA sendiri mencatat pemakaian oleh kelompok ransomware sebagai "Unknown", alias belum diketahui.
Angka yang paling berguna untuk Anda justru yang paling sederhana. Cabang yang terdampak dimulai dari 4.7 sampai 7.1.3, dan tiap cabang punya versi perbaikan. Menurut tabel versi Qualys, cabang 7.1 diperbaiki di 7.1.4, cabang 7.0 di 7.0.8, cabang 6.9 di 6.9.11, dan cabang 6.8 di 6.8.12.
Kenapa ini urusan pemilik usaha, bukan hanya programmer
Pendapat kami: yang rawan dari berita ini bukan WordPress-nya, melainkan kebiasaan "update jalan sendiri, pasti beres". Post rilis WordPress.org menulis bahwa situs yang mendukung background update akan memulai pembaruan secara otomatis. Praktisnya, momen paling rawan bisa lewat pukul dua dini hari tanpa satu orang pun melihat hasilnya.
Di banyak usaha kecil, jawaban atas "siapa yang memastikan update selesai dan bersih?" adalah diam. Situsnya dibuat freelancer dua tahun lalu, hosting dibayar dari kartu kredit pemilik, dan tidak ada yang mencatat versi. Saat berita seperti ini muncul, pertanyaan pertamanya bukan "apa itu TOCTOU", tapi "versi kami berapa, dan siapa yang tahu?"
Satu hal lagi: daftar backport WordPress.org berhenti di cabang 4.7. Kalau situs Anda masih lebih tua dari itu, ia berada di luar daftar perbaikan yang disebut dalam rilis ini.
Yang bisa dicek hari ini
Tanpa tim IT pun, ini bisa selesai dalam setengah jam:
- Catat versi WordPress. Buka dashboard, menu Updates, lalu lihat nomor versinya. Bandingkan dengan versi perbaikan untuk cabang Anda.
- Kalau auto-update menyala, cek hasilnya. Jadwal update bukan bukti update selesai. Nomor versi yang berubah adalah buktinya.
- Kalau hosting atau vendor yang mengurus, tanya tertulis. Minta tiga hal: versi sekarang, tanggal update selesai, dan nama orang yang memeriksa.
- Cari yang tidak dikenal. Akun admin yang tidak pernah Anda buat, plugin asing, atau file PHP yang tidak terduga termasuk yang disarankan PCQuest untuk diperiksa, begitu juga log akses server di sekitar waktu upgrade.
- Minta akses publik ke folder instalasi sementara dibatasi, dan pertimbangkan firewall aplikasi web yang dikonfigurasi benar. Ini pekerjaan developer atau penyedia hosting, jadi minta saja, jangan diutak-atik sendiri.
Minta satu hal hari ini
Minta satu hal ke pihak yang mengurus website Anda: nomor versi WordPress dan tanggal update terakhir, secara tertulis. Kalau jawabannya butuh lebih dari sehari, itu sudah jawabannya.
Kalau Anda ingin ditemani memeriksa kondisi website atau sistem usaha Anda, hubungi kami lewat WhatsApp +62 823 1499 5005 atau bisnis@xetup.id. Ceritakan saja situasinya, kami bantu baca.
Sumber