Badai kerentanan dan serangan siber belum usai, setelah kemarin ramai PHP, sekarang menyusul adanya high level risk pada WordPress Core yang memungkinkan penyerang melakukan Remote Code Execution/RCE tanpa autentikasi. Hal ini berkaitan dengan proses update WordPress yang memungkinkan penyerang memanfaatkan staging directory untuk menjalankan kode PHP. Dilansir dalam laporan Wordfence, sebanyak 62.969 upaya eksploitasi telah diblokir pada awal laporan. Versi WordPress yang terdampak adalah WordPress Core versi 4.7.0 hingga 7.1.3, untuk WordPress versi 4.6 dan yang lebih lama tidak menerima pembaruan keamanan reguler sehingga disarankan untuk segera melakukan upgrade ke versi yang masih didukung.
Versi WordPress yang telah memperoleh perbaikan keamanan berdasarkan rilis WordPress 28 Oktober 2026 antara lain:
- WordPress 7.1.x → 7.1.4 atau lebih baru.
- WordPress 7.0.x → 7.0.8 atau lebih baru.
- WordPress 6.9.x → 6.9.11 atau lebih baru.
- WordPress 6.8.x → 6.8.12 atau lebih baru.
- WordPress 6.7.x → 6.7.11 atau lebih baru.
- WordPress 6.6.x → 6.6.11 atau lebih baru.
- WordPress 6.5.x → 6.5.14 atau lebih baru.
- WordPress 6.4.x → 6.4.14 atau lebih baru.
- WordPress 6.3.x → 6.3.14 atau lebih baru.
- WordPress 6.2.x → 6.2.15 atau lebih baru.
- WordPress 6.1.x → 6.1.16 atau lebih baru.
- WordPress 6.0.x → 6.0.18 atau lebih baru.
- WordPress 5.9.x hingga 4.7.x → gunakan versi perbaikan keamanan yang sesuai.
Untuk mengurangi risiko eksploitasi pada website WordPress beberapa langkah yang bisa diupayakan oleh pengguna adalah:
- Perbarui WordPress Core
- Lakukan backup sebelum pembaruan
- Periksa kompatibilitas website sebelum update
- Lakukan pengujian terlebih dahulu pada lingkungan staging atau development sebelum menerapkan update pada website production.
- Periksa konfigurasi keamanan website
- Periksa log akses web server untuk menemukan permintaan mencurigakan terhadap file PHP di bawah direktori wp-content/upgrade/, termasuk permintaan ke setup-config.php.
- akun administrator WordPress, plugin, tema, dan file PHP yang tidak dikenal atau tidak pernah dipasang oleh pengelola website.
- Lakukan pemindaian keamanan website untuk mendeteksi kemungkinan perubahan file, malware, atau backdoor.
Referensi dan informasi lebih lanjut dapat dilihat pada:
- Rilis resmi pembaruan keamanan WordPress 7.1.4: https://wordpress.org/news/2026/10/wordpress-7-1-4/
- Analisis teknis dan rekomendasi mitigasi dari Wordfence: https://www.wordfence.com/blog/2026/10/wordpress-7-1-4-security-release-rce/
- https://thehackernews.com/2026/10/wordpress-rce-flaw-draws-nearly-63000.html
- https://aviatrix.ai/threat-research-center/wordpress-rce-flaw-63000-attack-attempts-24-hours/
Ingatlah bahwa pengelolaan keamanan aplikasi/website adalah tanggung jawab bersama, mari kita jaga ruang siber kita supaya lebih bermartabat dan bermanfaat.
