Halo rekan-rekan media dan komunitas digital.
Banyak media rekan-rekan menggunakan CMS WordPress untuk mengelola berita dan publikasi sehari-hari. Mulai dari menulis artikel, mengunggah foto, sampai mengatur banyak penulis dalam satu website.
Karena itu, ketika WordPress merilis update keamanan, sebaiknya jangan dianggap sebagai update biasa.
Pada 6 Agustus 2026, WordPress merilis versi 7.0.3. Ini adalah security release yang membawa 12 perbaikan keamanan. WordPress sendiri merekomendasikan pengguna untuk segera melakukan update.
Menurut laporan Patchstack, perbaikan tersebut mencakup beberapa jenis celah, mulai dari Cross-Site Scripting (XSS), privilege escalation, kebocoran informasi, CSS injection, bypass verifikasi email, sampai Server-Side Request Forgery (SSRF).
Kalau website media rekan-rekan masih menggunakan versi WordPress yang terdampak, ini saatnya mengecek versi WordPress dan melakukan update.
Apa Saja yang Diperbaiki?
Secara sederhana, ada beberapa kelompok celah keamanan yang diperbaiki dalam WordPress 7.0.3:
- Pre-authenticated XSS
- Stored XSS
- Privilege escalation
- Kebocoran informasi
- CSS injection
- Bypass verifikasi email
- Server-Side Request Forgery (SSRF)
Tidak semua celah memiliki tingkat risiko yang sama. Ada yang membutuhkan akun pengguna tertentu untuk bisa dimanfaatkan, sementara ada juga yang bisa dipicu tanpa harus login terlebih dahulu.
Jadi, jangan hanya melihat jumlahnya. Yang penting adalah memahami bagaimana celah tersebut bisa dimanfaatkan dan siapa yang berpotensi menjadi korban.
1. Celah XSS di Halaman Login
Salah satu celah yang cukup menarik perhatian adalah reflected XSS di halaman login.
Celah ini dapat dipicu tanpa penyerang harus login terlebih dahulu. Namun, bukan berarti seseorang bisa langsung mengambil alih website hanya dengan mengetahui alamat login.
Ada satu syarat penting.
Penyerang harus membuat URL khusus dan membuat korban membuka URL tersebut.
Kalau korbannya adalah pengguna biasa, dampaknya masih terbatas. Tetapi situasinya berbeda kalau korban adalah Administrator.
Jika Administrator membuka URL berbahaya tersebut, JavaScript yang disisipkan dapat berjalan dalam konteks sesi Administrator.
Dalam kondisi tertentu, ini bisa digunakan untuk melakukan tindakan atas nama Administrator. Pada skenario terburuk, akses tersebut dapat berkembang menjadi pengambilalihan website dan bahkan remote code execution.
Jadi, meskipun serangannya membutuhkan “jebakan”, risikonya tetap perlu diperhatikan.
2. Empat Celah Stored XSS
Ada empat celah lain yang berkaitan dengan stored XSS.
Bedanya, celah-celah ini membutuhkan akses minimal setingkat Contributor.
Ini penting bagi website media.
Kenapa?
Karena website media biasanya tidak hanya memiliki satu Administrator. Ada editor, penulis, kontributor, freelancer, atau bahkan penulis tamu yang diberikan akses ke dashboard WordPress.
Empat celah tersebut berkaitan dengan:
- Pengaturan emoji pada post
- Blok Post Content
- Fitur Quick Edit
- Blok Post Date
Kalau website hanya dikelola oleh beberapa orang yang dipercaya, risikonya tentu berbeda dengan website yang memiliki puluhan akun penulis.
Semakin banyak pengguna yang memiliki akses ke dashboard, semakin penting memastikan WordPress dan plugin yang digunakan selalu diperbarui.
3. Masalah Privilege Escalation di WordPress Multisite
WordPress 7.0.3 juga memperbaiki masalah keamanan yang berkaitan dengan WordPress Multisite.
Dalam kondisi tertentu, ketika registrasi pengguna diaktifkan, pengguna biasa dapat membuat website baru meskipun seharusnya tidak memiliki izin tersebut.
Ini hanya berkaitan dengan instalasi WordPress Multisite.
Kalau website rekan-rekan menggunakan WordPress single-site, bagian ini tidak perlu terlalu dikhawatirkan.
Namun untuk pengelola jaringan media atau organisasi yang menggunakan satu instalasi WordPress untuk banyak website, update ini menjadi lebih penting.
Satu instalasi Multisite bisa mengelola banyak website sekaligus. Artinya, masalah keamanan di tingkat core juga perlu dilihat dari dampaknya terhadap seluruh jaringan.
4. Kebocoran Informasi
Ada juga beberapa perbaikan yang berkaitan dengan information disclosure atau kebocoran informasi.
Contohnya:
- Blok Latest Comments dapat membocorkan komentar dari post yang dilindungi password.
- Slug post dapat digunakan untuk melakukan enumerasi.
- Comment feed dapat membocorkan informasi yang seharusnya tidak terlihat secara publik.
Mungkin terdengar tidak terlalu berbahaya dibandingkan pengambilalihan akun Administrator.
Tetapi jangan langsung menganggapnya sepele.
Informasi yang bocor dapat membantu penyerang mengumpulkan data tentang website dan menyusun serangan berikutnya.
Dalam keamanan website, satu informasi kecil kadang bisa menjadi bagian dari serangan yang lebih besar.
5. CSS Injection, Bypass Email, dan SSRF
Selain XSS dan privilege escalation, WordPress 7.0.3 juga memperbaiki beberapa jenis celah lainnya.
CSS injection dapat dimanfaatkan oleh pengguna dengan hak tertentu, termasuk pengguna dengan level Author ke atas.
Kemudian ada email verification bypass yang dalam kondisi tertentu memungkinkan proses verifikasi email dilewati.
Ada juga Server-Side Request Forgery (SSRF) yang berkaitan dengan proses validasi URL.
SSRF menjadi perhatian karena server dapat dipaksa mengirim request ke alamat tertentu yang seharusnya tidak bisa diakses secara langsung oleh pengguna dari luar.
Risikonya akan semakin besar kalau server website memiliki akses ke jaringan internal atau layanan lain yang tidak terbuka ke internet.
AI Juga Mulai Berperan dalam Menemukan Celah
Ada satu hal menarik dari laporan Patchstack mengenai WordPress 7.0.3.
Perubahan di dunia keamanan tidak hanya terjadi pada sisi WordPress. Cara orang menemukan celah keamanan juga ikut berubah.
AI sekarang mulai digunakan untuk membantu menganalisis kode dan menemukan potensi kerentanan.
Artinya, proses menemukan celah bisa menjadi semakin cepat.
Ini menjadi tantangan tersendiri bagi pemilik website.
Semakin cepat celah ditemukan, semakin pendek waktu yang tersedia bagi pengelola website untuk melakukan update sebelum celah tersebut dimanfaatkan.
Kita sudah melihat sebelumnya bahwa setelah vulnerability WordPress diumumkan, eksploitasi dapat muncul dalam waktu yang sangat singkat. Patchstack bahkan melaporkan adanya percobaan eksploitasi terhadap vulnerability WordPress sebelumnya tidak lama setelah patch dirilis.
Karena itu, update keamanan sebaiknya tidak menunggu sampai website mengalami masalah.
Apakah Harus Segera Update?
Ya.
WordPress 7.0.3 merupakan security release dan WordPress sendiri merekomendasikan pengguna untuk segera melakukan update.
Untuk website media yang sudah live, terutama yang memiliki banyak plugin, tema, dan akun pengguna, lakukan update dengan tetap memperhatikan kondisi website.
Sebelum update, sebaiknya:
- Backup database dan file website.
- Pastikan plugin dan tema masih kompatibel.
- Update WordPress Core.
- Cek kembali fungsi utama website.
- Periksa akun Administrator dan pengguna yang memiliki akses ke dashboard.
- Periksa log jika sebelumnya website menunjukkan aktivitas yang mencurigakan.
Untuk WordPress Multisite, jangan lupa mengecek pengguna dan website yang berada di dalam jaringan.
Kesimpulan
WordPress 7.0.3 bukan sekadar update untuk mendapatkan fitur baru.
Ada 12 perbaikan keamanan di dalamnya, termasuk XSS, privilege escalation, information disclosure, CSS injection, email verification bypass, dan SSRF.
Memang, tidak semua celah dapat dimanfaatkan dengan mudah. Beberapa membutuhkan akses Contributor atau Author. Sementara celah XSS pada halaman login tetap membutuhkan korban untuk membuka URL yang sudah disiapkan penyerang.
Tetapi bagi pengelola media online, prinsipnya sederhana:
Kalau ada security update, jangan menunggu sampai website bermasalah baru melakukan update.
Banyak media rekan-rekan menggunakan WordPress sebagai bagian penting dari proses publikasi. Menjaga WordPress tetap diperbarui berarti ikut menjaga artikel, akun pengguna, data, dan website yang selama ini menjadi bagian dari aktivitas media.
Cek versi WordPress rekan-rekan melalui Dashboard → Updates dan pastikan menggunakan versi terbaru yang tersedia.
Dan setelah 7.0.3, ternyata cerita soal keamanan WordPress belum selesai.
Hanya beberapa hari kemudian, WordPress kembali merilis update keamanan. Kali ini masalahnya justru berkaitan dengan sesuatu yang setiap hari dilakukan oleh banyak media: mengunggah gambar.
Referensi: