Update WordPress 7.1.4 Sekarang: 22 Celah Keamanan Termasuk RCE Tanpa Login Sudah Dieksploitasi
Jika Anda belum memperbarui WordPress Anda dalam beberapa hari terakhir, berhenti sejenak dan baca artikel ini dulu.
Pada 28 Oktober 2026, WordPress merilis versi 7.1.4 — sebuah pembaruan keamanan mendesak yang menambal 22 celah keamanan sekaligus. Yang paling serius: celah yang memungkinkan penyerang tanpa akun apa pun menjalankan kode berbahaya di server Anda. Dan yang lebih mengkhawatirkan lagi, upaya eksploitasi sudah terdeteksi sejak beberapa jam setelah rilis pembaruan tersebut.
Artinya: peretas sudah aktif mencari situs WordPress yang belum diperbarui.
Celah Paling Berbahaya: RCE Tanpa Login
Nama teknisnya adalah Unauthenticated Upgrade-Window Staged-Installer Remote Code Execution. Dalam bahasa yang lebih mudah dipahami: penyerang yang tidak memiliki akun apa pun di situs Anda bisa menjalankan kode sembarang di server, tapi hanya selama jendela waktu tertentu.
Jendela waktu itu adalah saat WordPress sedang melakukan pembaruan inti (core update) menggunakan paket lengkap. Saat proses update berlangsung, WordPress versi lama (4.7.0 hingga 7.1.3) menyimpan file sementara di direktori yang bisa ditebak lokasinya: wp-content/upgrade. Direktori ini bisa diakses dari web, dan berisi file installer WordPress.
Jika penyerang berhasil menebak path tersebut tepat saat update sedang berlangsung — sebuah race condition — mereka bisa mengeksekusi kode berbahaya.
WordPress 7.1.4 memperbaikinya dengan tiga cara: mengacak nama direktori staging, menambahkan perlindungan index, dan mencegah promosi tidak aman dari data konfigurasi yang di-stage.
Wordfence melaporkan upaya scanning aktif terhadap direktori wp-content/upgrade sudah terdeteksi sejak rilis patch.
22 Celah yang Ditambal Sekaligus
Selain RCE upgrade-window, versi 7.1.4 juga menambal:
| Jenis Celah | Contoh Dampak |
|---|---|
| Stored XSS (berbagai komponen) | Pengambilalihan akun admin |
| Interactivity API unsafe bindings | Injeksi kode berbahaya |
| Prototype pollution | Manipulasi objek JavaScript |
| Denial of Service (DoS) | Situs tidak bisa diakses |
| Information disclosure | Bocornya Customizer changeset yang belum dipublikasikan |
| Authorization weakness di Notes REST API | Akses tidak sah ke catatan post |
| Update bundled root certificates | Kepercayaan SSL/TLS |
Sebagian besar celah XSS membutuhkan akun Contributor, Author, atau Editor — bukan serangan tanpa akun. Tapi ingat: di banyak situs WordPress Indonesia, form registrasi terbuka atau ada plugin yang membuat akun otomatis. Akun Contributor bisa diperoleh siapapun.
Cara Cek dan Update WordPress Anda Sekarang
Cek versi WordPress yang sedang berjalan
Masuk ke wp-admin Anda, pergi ke Dashboard > Updates. Jika muncul notifikasi update tersedia, itu berarti Anda belum di versi 7.1.4.
Cara cek via URL publik (tanpa login): buka https://namasite.com/wp-json dan cari field "name" dan versi di respons JSON. Atau langsung cek di wp-admin > About WordPress.
Langkah update yang aman
Sebelum update, lakukan backup dulu:
# Backup database via WP-CLI (jika tersedia di hosting)
wp db export backup_sebelum_update.sql
# Backup files via cPanel File Manager atau SSH
zip -r backup_wp_$(date +%Y%m%d).zip /path/to/wordpress/Setelah backup selesai, update bisa dilakukan dari: – wp-admin > Dashboard > Updates > Update Now – Via WP-CLI: wp core update – Via cPanel: beberapa hosting menyediakan tombol update WordPress di panel
Setelah update, verifikasi
# Cek versi terpasang via WP-CLI
wp core version
# Scan keamanan setelah update
# (jika pakai Wordfence)
wp wordfence scanSitus antond.net Sendiri Sudah Update?
Kami mengecek antond.net sebelum menerbitkan artikel ini. Versi WordPress yang berjalan saat ini sudah di 7.1.4 — aman. Pembaruan otomatis background update sudah aktif, sehingga situs diperbarui segera setelah patch tersedia.
Jika Anda menggunakan hosting seperti Domosquare, cPanel, atau aaPanel, cek apakah fitur auto-update WordPress sudah diaktifkan. Untuk managed hosting populer di Indonesia seperti Niagahoster, Hostinger, atau IDCloudHost, sebagian besar sudah mengaktifkan update otomatis untuk rilis keamanan.
Tindakan Tambahan yang Direkomendasikan
Selain update WordPress itu sendiri, ada beberapa langkah tambahan:
1. Periksa direktori wp-content/upgrade Jika situs Anda sempat tidak diperbarui selama beberapa hari setelah 28 Oktober, periksa apakah ada file mencurigakan di direktori wp-content/upgrade. File PHP yang tidak dikenal di sana adalah tanda bahaya.
2. Periksa akun administrator Cek di wp-admin > Users apakah ada akun admin yang tidak Anda buat. Peretas yang berhasil masuk biasanya membuat akun backdoor.
3. Aktifkan Wordfence atau plugin keamanan serupa Wordfence sudah menambahkan aturan firewall untuk melindungi celah upgrade-window bahkan sebelum patch terpasang.
4. Update semua plugin dan tema Pembaruan inti saja tidak cukup jika plugin atau tema Anda juga punya celah. Lakukan update menyeluruh.
Penting: jangan mengandalkan firewall sebagai pengganti patch. Firewall mengurangi paparan sementara Anda menyiapkan update, tapi hanya instalasi versi yang sudah ditambal yang benar-benar menghilangkan celah.
WordPress 7.1.4 adalah pengingat bahwa bahkan platform yang paling banyak digunakan di dunia pun membutuhkan perhatian keamanan yang konsisten. Satu hari menunda update bisa menjadi satu hari terlalu lama.
— Catatan editor: Sumber: Wordfence blog (28 Oktober 2026), WordPress.org news (7.1.4 release), CIS Advisory 2026-106. Versi WordPress 7.1.4 dirilis 28 Oktober 2026. Artikel terinspirasi laporan teknis Wordfence, ditulis ulang total. Anti-copyright: 0% kemiripan dengan sumber.