Celah WordPress Diserang Hacker dalam Hitungan Jam, Jutaan Website Terancam?
Kerentanan tersebut memiliki skor CVSS 9,2 atau masuk kategori kritis. Celah ini memungkinkan penyerang yang tidak memiliki akun untuk membuat WordPress memuat file PHP lokal di luar direktori tema yang semestinya.
Dalam kondisi tertentu, kerentanan tersebut bahkan dapat berkembang menjadi remote code execution (RCE), yang memungkinkan penyerang menjalankan kode pada server. Namun, risiko tersebut tidak terjadi secara otomatis pada seluruh instalasi WordPress karena membutuhkan sejumlah kondisi tertentu pada tema dan konfigurasi server.
Hacker Mulai Menyerang Beberapa Jam Setelah Patch
Aktivitas serangan terhadap celah ini terpantau tidak lama setelah WordPress merilis pembaruan keamanan.
Patchstack melaporkan permintaan mencurigakan pertama terkait CVE-2026-87902 pada 22 September 2026 pukul 17.44 UTC, kurang dari lima jam setelah WordPress 7.1.2 dipublikasikan.
Awalnya, aktivitas tersebut berupa pengintaian atau probing terhadap situs WordPress untuk mengetahui apakah sistem memiliki kondisi yang dapat dieksploitasi.
Namun, aktivitas kemudian berkembang. Peneliti keamanan melaporkan adanya upaya yang dapat digunakan untuk menulis file ke server, termasuk file PHP yang kemudian dapat dipanggil untuk menjalankan perintah.
SecurityWeek juga melaporkan bahwa aktivitas tersebut meningkat dan bergerak dari tahap pemeriksaan terhadap target menuju upaya eksploitasi aktif.
Apa Itu CVE-2026-87902?
CVE-2026-87902 merupakan kerentanan pada WordPress Core, tepatnya dalam proses penentuan template halaman.
WordPress menjelaskan bahwa penyerang yang tidak terautentikasi dapat memanipulasi proses tersebut sehingga sistem memasukkan file PHP lokal yang dapat dibaca oleh server web, meskipun file tersebut berada di luar direktori tema aktif.
Kerentanan ini berdampak pada WordPress versi 4.7.0 hingga 7.1.1.
WordPress kemudian merilis perbaikan pada 22 September 2026, termasuk WordPress 7.1.2 serta pembaruan untuk sejumlah cabang versi sebelumnya.
Tidak Semua Website WordPress Otomatis Bisa Diambil Alih
Meski masuk kategori kritis, kerentanan ini tidak berarti seluruh website WordPress yang belum diperbarui otomatis dapat diambil alih.
Eksploitasi hingga menjadi RCE membutuhkan kondisi tertentu.
Salah satunya berkaitan dengan struktur tema aktif yang memiliki direktori tingkat atas dengan nama yang diawali “page-”. Selain itu, server harus memiliki file PHP lokal tertentu yang dapat dibaca oleh akun web server dan dapat dimanfaatkan dalam rangkaian eksploitasi.
Karena itu, peneliti keamanan membedakan antara kemampuan memasukkan file PHP lokal dengan kemampuan menjalankan kode milik penyerang. Tahap kedua membutuhkan kondisi tambahan pada lingkungan server.
WordPress Sudah Merilis Pembaruan
WordPress telah menyediakan pembaruan untuk memperbaiki kerentanan tersebut.
Untuk pengguna WordPress 7.1.x, pembaruan yang disediakan adalah 7.1.2. Sementara sejumlah cabang versi sebelumnya juga mendapatkan pembaruan keamanan masing-masing.
WordPress menyarankan pemilik situs segera melakukan pembaruan.
Patchstack juga menyatakan bahwa memperbarui WordPress ke versi yang telah diperbaiki merupakan langkah utama untuk mengatasi CVE-2026-87902.
Mengapa Celah Ini Perlu Diwaspadai?
Kecepatan munculnya aktivitas serangan menjadi salah satu perhatian utama dalam kasus ini.
Patchstack mencatat bahwa permintaan eksploitasi muncul kurang dari lima jam setelah pembaruan tersedia. Peneliti juga melihat pola aktivitas yang menunjukkan pelaku mencoba menemukan situs yang masih rentan sebelum melanjutkan ke tahap berikutnya.
Artinya, situs WordPress yang belum diperbarui berpotensi menjadi sasaran pemindaian otomatis di internet.
Pemilik website juga disarankan tidak hanya melakukan update, tetapi memeriksa log server apabila situs sebelumnya menggunakan versi yang rentan dan telah terekspos ke internet.
Pengguna WordPress Diminta Segera Update
CVE-2026-87902 menjadi pengingat bahwa pembaruan WordPress bukan hanya berkaitan dengan fitur baru, tetapi juga keamanan website.
Dengan adanya laporan aktivitas eksploitasi setelah pembaruan dirilis, pengguna WordPress yang masih menggunakan versi terdampak perlu memastikan sistemnya telah menggunakan rilis yang sudah diperbaiki.
Bagi pengelola website, termasuk media online yang menggunakan WordPress, pemeriksaan versi, tema, plugin, log server, serta file mencurigakan dapat menjadi bagian dari langkah pengamanan setelah melakukan pembaruan.
