CISA Peringatkan Celah RCE WordPress CVE-2026-119977 Aktif Dieksploitasi
Badan keamanan siber Amerika Serikat (CISA) memasukkan celah RCE WordPress CVE-2026-119977 ke katalog Known Exploited Vulnerabilities (KEV) pada 3 November 2026. Celah pada WordPress Core itu telah dimanfaatkan dalam serangan dan dapat memungkinkan penyerang menjalankan kode di server saat proses pembaruan berlangsung.
Celah RCE WordPress muncul saat pembaruan inti
Kerentanan yang ditemukan peneliti Picus Security, Umut Bayram, ini berasal dari race condition jenis time-of-check to time-of-use (TOCTOU). Saat WordPress memperbarui inti menggunakan paket lengkap, proses tersebut memakai jalur staging yang bisa diprediksi dan diakses melalui web. Penyerang tanpa akun dapat memanfaatkan jeda singkat dalam proses itu untuk menjalankan kode dari jarak jauh.
Wordfence memberi celah ini skor CVSS 8,1 dan melaporkan telah memblokir ribuan upaya eksploitasi dalam 24 jam. CISA belum merinci siapa yang berada di balik serangan tersebut.
WordPress 7.1.4 menutup celah CVE-2026-119977
Tim keamanan WordPress merilis versi 7.1.4 pada 28 Oktober 2026. Perbaikan juga tersedia untuk sejumlah cabang lama, termasuk WordPress 7.0.8 dan 6.9.11. Pengelola situs sebaiknya memeriksa versi inti yang terpasang dan segera memasang rilis yang sudah memuat perbaikan.
CISA menetapkan tenggat 6 November 2026 bagi lembaga sipil federal AS untuk menangani celah ini. Badan tersebut juga meminta pengelola sistem di luar pemerintah untuk memprioritaskan pembaruan.
Sumber: WordPress.org
