Rabu, 28 Oktober 2026, WordPress merilis versi 7.1.4 sebagai rilis keamanan. Dua hari kemudian angka dari Wordfence membuat banyak pengelola situs geleng-geleng: 62.969 percobaan eksploitasi terhadap satu celah di inti WordPress, semuanya tercatat dalam 24 jam. Yang jadi sasaran bukan plugin pihak ketiga, melainkan proses update WordPress itu sendiri.

Bagi pengelola website desa, sekolah, atau UMKM yang biasa memperbarui WordPress setahun sekali, ini alasan bagus untuk menunda pekerjaan lain dan membuka dashboard sekarang.

Apa yang sebenarnya bocor

Saat WordPress menjalankan upgrade paket penuh, file-file baru diekstrak ke folder sementara di dalam wp-content/upgrade. Folder itu ikut membawa installer WordPress, dan di banyak server ia bisa diakses lewat browser karena berada di dalam document root. Peneliti menemukan bahwa penyerang tanpa login bisa memanggil installer tersebut pada detik yang tepat, selagi file masih menganggur di folder sementara, lalu mendorong eksekusi kode PHP.

Masalahnya, nama folder sementara itu mudah ditebak. Wordfence mencatat penyerang terus memanggil jalur seperti setup-config.php untuk menangkap momen tersebut. Di lingkungan uji, jendelanya hanya beberapa detik. Di server produksi yang lambat dan padat, jendela itu bisa lebih lebar.

Celah ini diberi skor CVSS 8.1 dan sampai sekarang belum punya nomor CVE. Versi yang terdampak adalah WordPress 4.7 sampai 7.1.3.

Siapa yang paling berisiko

Menurut analisis Wordfence, serangan hanya berhasil bila empat syarat terpenuhi bersamaan:

• Ada proses update paket penuh yang membawa file installer,
• Folder staging bisa diakses publik lewat web dan PHP,
• Jalur folder staging bisa ditebak atau ditemukan,
• Penyerang punya cukup waktu sebelum WordPress menghapus file sementara.

Artinya situs yang mengandalkan auto-update dan membiarkan isi wp-content terbuka apa adanya berada di garis depan. Situs yang mengunci folder upgrade lewat aturan server relatif lebih aman, meski tetap wajib dipatch.

Langkah 1: update ke 7.1.4

1. Login ke dashboard, buka Dashboard → Updates, klik Update Now. Jika auto-update aktif, prosesnya berjalan sendiri tanpa perlu ditunggu.
2. Kalau punya akses SSH, jalankan wp core update --version=7.1.4 lalu wp core update-db.
3. Untuk situs yang masih memakai versi lama, tim WordPress menyiapkan backport hingga cabang 4.7. Pengirimannya bertahap, jadi pantau halaman rilis resmi bila situs Anda jauh di belakang.

Backup database dan folder wp-content sebelum menekan tombol update. Rutinitas membosankan ini yang biasanya menyelamatkan orang.

Langkah 2: cek apakah situs sudah disentuh

Setelah update, jangan langsung tutup laptop. Periksa access log web server untuk permintaan mencurigakan ke file PHP di dalam wp-content/upgrade, terutama yang menyebut setup-config.php:

grep "wp-content/upgrade" /var/log/nginx/access.log | grep "setup-config"

Di Apache, arahkan ke /var/log/apache2/access.log atau access_log sesuai distro. Permintaan beruntun dari satu IP dengan user agent aneh adalah tanda penyisiran.

Langkah 3: audit akun dan file

• Buka menu Users, cari akun administrator yang tidak Anda buat.
• Bandingkan daftar plugin dengan catatan terakhir. Plugin yang tidak pernah dipasang sendiri harus dicurigai.
• Cari file PHP baru di wp-content/uploads dan wp-content/upgrade. Folder upload seharusnya hanya berisi gambar dan dokumen.
• Ganti password admin dan salt di wp-config.php bila ada tanda gangguan.

Bukan cuma satu celah

Rilis 7.1.4 sebenarnya membersihkan banyak hal lain: stored XSS lewat markup blok, beberapa XSS di Interactivity API, XSS di blok kategori, blok playlist, blok pagination komentar, sampai celah pada form login pengguna. Ada juga masalah perubahan customizer yang belum dipublikasikan bisa dilihat pengunjung tanpa login, dan catatan internal yang bisa dibaca pengguna dengan hak terbatas. Sertifikat root bawaan ikut diperbarui menyusul pencabutan eMudhra.

Dengan kata lain, satu kali update menutup belasan masalah sekaligus. Menundanya seminggu berarti menambah daftar risiko yang harus dijelaskan ke atasan.

Kalau belum bisa update hari ini

Untuk situs instansi yang punya jadwal maintenance ketat, lakukan mitigasi sementara: tutup akses web ke folder upgrade. Di Apache, tambahkan aturan deny untuk wp-content/upgrade; di nginx, kembalikan kode 403 untuk lokasi tersebut. Blokir juga akses langsung ke wp-content/upgrade/*.php. Mitigasi ini tidak menggantikan patch, hanya membeli waktu.

Terakhir, matikan akun admin yang tidak terpakai, aktifkan autentikasi dua faktor, dan batasi plugin ke yang benar-benar dipakai. Celah boleh datang dari inti WordPress, tapi pintu yang terbuka lebar biasanya ulah kebiasaan sendiri.

Sumber: WordPress 7.1.4 – WordPress News, The Hacker News.