Halo rekan-rekan media dan komunitas digital.
Baru beberapa hari setelah WordPress 7.0.3 dirilis, WordPress kembali mengeluarkan pembaruan keamanan.
Banyak media rekan-rekan menggunakan CMS WordPress. Dan salah satu aktivitas yang hampir setiap hari dilakukan adalah mengunggah gambar untuk kebutuhan berita.
Nah, kali ini justru proses upload gambar tersebut yang menjadi bagian penting dari sebuah perbaikan keamanan.
Pada 12 Agustus 2026, WordPress merilis WordPress 7.0.4. Ini merupakan security release yang memperbaiki satu celah keamanan pada proses pemrosesan file yang diunggah. WordPress merekomendasikan pengguna untuk segera melakukan update.
patchstack.com menjelaskan bahwa celah ini dapat memungkinkan pengguna yang sudah login dengan hak Author atau lebih tinggi mengubah file yang terlihat seperti gambar menjadi sesuatu yang dapat menyebabkan eksekusi kode di server, terutama pada konfigurasi yang menggunakan ImageMagick dan Ghostscript.
Kedengarannya teknis?
Sebenarnya konsepnya cukup mudah dipahami.
Sebelum Masuk ke Masalahnya, Kenalan dengan GD Library dan ImageMagick
Ketika rekan-rekan mengupload foto ke WordPress, gambar tersebut tidak hanya disimpan begitu saja.
WordPress perlu memprosesnya.
Misalnya ketika gambar dibuat menjadi beberapa ukuran untuk kebutuhan thumbnail, featured image, atau tampilan di dalam artikel.
Untuk melakukan pekerjaan tersebut, WordPress dapat menggunakan GD Library atau ImageMagick.
Untuk melihat pengaturan Penanganan Media/Media Handling situs WordPress rekan rekan, klik menu Peralatan → Kesehatan Situs.
GD Library merupakan salah satu pilihan yang umum digunakan WordPress.
Sementara itu, jika ImageMagick tersedia di server, WordPress dapat menggunakannya sebagai image processing engine.
ImageMagick cukup populer karena mendukung banyak format gambar dan menyediakan kemampuan pemrosesan gambar yang lebih lengkap.
Masalahnya, kemampuan tersebut juga berarti ImageMagick dapat mengenali lebih banyak jenis file.
Dan di sinilah persoalannya dimulai.
Ketika File PNG Ternyata Bukan PNG
Bayangkan ada seseorang mengupload file bernama:
holiday.png
Dari namanya, kita tentu menganggap itu gambar PNG.
Tapi nama file tidak selalu menceritakan isi file yang sebenarnya.
Bagaimana kalau file tersebut sebenarnya berisi data PostScript?
WordPress bisa melihat .png dan menganggapnya sebagai gambar.
Sementara ImageMagick membaca isi file dan menemukan bahwa file tersebut sebenarnya merupakan format lain.
Untuk beberapa jenis file seperti PostScript, EPS, atau PDF, ImageMagick dapat menggunakan program lain bernama Ghostscript untuk memprosesnya.
Nah, Ghostscript memiliki kemampuan untuk memproses file sebagai dokumen dan menjalankan instruksi yang ada di dalamnya.
Kalau file tersebut sudah dimanipulasi oleh penyerang, proses inilah yang bisa menjadi masalah keamanan.
Jadi persoalannya bukan sekadar:
“Ada orang mengupload gambar berbahaya.”
Masalah sebenarnya adalah adanya perbedaan antara apa yang terlihat dari nama file dan apa yang sebenarnya ada di dalam file tersebut.
Kenapa Ini Bisa Terjadi?
Sebelumnya, proses pemuatan file melalui ImageMagick tidak selalu melakukan pemeriksaan isi file dengan cara yang cukup ketat.
Ada fungsi WordPress bernama WP_Image_Editor_Imagick::load() yang bertugas memuat file ke ImageMagick.
Pada jalur yang rentan, pemeriksaan lebih banyak bergantung pada informasi dari file dan ekstensi yang digunakan.
Akibatnya, file yang tampak seperti gambar bisa saja diproses sebagai format lain oleh ImageMagick.
WordPress sebenarnya memiliki mekanisme pemeriksaan file bernama wp_check_filetype_and_ext().
Masalahnya, tidak semua jalur pemrosesan file menggunakan mekanisme tersebut.
Patchstack mencatat bahwa jalur seperti upload melalui XML-RPC dan proses ekstraksi artwork dari file MP3 dapat menggunakan wp_upload_bits(), sehingga pemeriksaan file yang sama tidak selalu dilakukan.
Inilah yang kemudian diperbaiki dalam WordPress 7.0.4.
Apa yang Diperbaiki WordPress 7.0.4?
Secara sederhana, WordPress sekarang melakukan pemeriksaan lebih ketat sebelum file diteruskan ke ImageMagick.
Tujuannya adalah memastikan file yang terlihat seperti gambar memang benar-benar merupakan file yang aman untuk diproses sebagai gambar.
Beberapa jenis file yang menjadi perhatian antara lain:
- PostScript dan EPS.
- PDF yang tidak benar-benar merupakan PDF.
- File terkompresi yang dapat menyembunyikan konten lain.
- Nama file dengan awalan khusus yang dapat memengaruhi cara ImageMagick menentukan format file.
Dengan pemeriksaan ini, WordPress tidak lagi sekadar percaya pada nama atau ekstensi file.
Isi file juga perlu diperiksa.
Ini penting karena dalam keamanan komputer, nama file memang tidak bisa dijadikan satu-satunya patokan.
Seberapa Berbahaya untuk Media Online?
Sekarang pertanyaan yang lebih penting:
Apakah website media rekan-rekan benar-benar berisiko?
Jawabannya tergantung bagaimana website tersebut dikelola.
Celah ini membutuhkan pengguna yang sudah memiliki akses ke website, minimal level Author.
Jadi bukan berarti orang asing bisa datang ke halaman website lalu langsung mengupload file berbahaya.
Tetapi coba perhatikan siapa saja yang memiliki akun Author di website rekan-rekan.
Apakah hanya dua atau tiga orang yang sudah dikenal?
Atau ada puluhan penulis?
Bagaimana dengan freelancer?
Bagaimana dengan kontributor?
Bagaimana dengan akun penulis lama yang sudah tidak aktif tetapi masih memiliki akses?
Di sinilah konteksnya menjadi penting.
Untuk website yang hanya dikelola oleh beberapa orang yang dipercaya, risikonya mungkin lebih kecil.
Tetapi untuk media online yang memiliki banyak penulis dan memberikan akses upload media kepada banyak pengguna, situasinya berbeda.
Satu akun yang disalahgunakan bisa menjadi pintu masuk ke masalah yang jauh lebih besar.
Kenapa ImageMagick dan Ghostscript Perlu Diperhatikan?
ImageMagick sendiri bukan software yang “berbahaya”.
Begitu juga Ghostscript.
Keduanya merupakan software yang banyak digunakan untuk memproses berbagai jenis file.
Masalah muncul ketika software yang memiliki kemampuan memproses format kompleks menerima file yang sengaja dibuat oleh penyerang.
Bayangkan seperti sebuah mesin yang bisa membuka banyak jenis dokumen.
Semakin banyak jenis dokumen yang bisa dibuka, semakin banyak pula hal yang harus diperiksa sebelum sebuah file dimasukkan ke dalam mesin tersebut.
Itulah alasan pemeriksaan file menjadi penting.
WordPress 7.0.4 memperketat bagian tersebut sebelum file diproses oleh ImageMagick.
Jadi, Apakah Harus Update?
Ya.
WordPress secara resmi menyebut 7.0.4 sebagai security release dan merekomendasikan pengguna untuk segera melakukan update.
Bagi media online yang memiliki banyak penulis, update ini semakin relevan karena celah tersebut berkaitan dengan pengguna yang memiliki hak untuk mengunggah media.
Sebelum melakukan update di website produksi, seperti biasa:
- Backup database dan file website.
- Pastikan plugin dan tema kompatibel.
- Update WordPress Core.
- Cek fungsi upload media.
- Periksa kembali akun Author, Editor, dan Administrator.
- Pastikan tidak ada akun lama yang seharusnya sudah dinonaktifkan.
Kalau website menggunakan ImageMagick, perhatian terhadap update ini menjadi semakin penting.
Kesimpulan
WordPress 7.0.4 memang hanya membawa satu security fix, tetapi bukan berarti perbaikannya tidak penting.
Celah yang ditutup berkaitan dengan cara WordPress menangani file yang diupload dan diteruskan ke ImageMagick. Dalam kondisi tertentu, pengguna yang sudah memiliki akses Author dapat memanfaatkan file berbahaya untuk mencapai remote code execution pada server.
Bagi rekan-rekan yang mengelola media online, ini menjadi pengingat sederhana.
Jangan menganggap file gambar sebagai file yang selalu aman.
Sebuah file bernama foto.png belum tentu benar-benar berisi gambar PNG.
Dan jangan lupa, keamanan website bukan hanya soal password Administrator.
Akun penulis, proses upload media, plugin, tema, sampai software yang digunakan server untuk memproses file, semuanya menjadi bagian dari rantai keamanan.
Banyak media rekan-rekan menggunakan WordPress untuk menjalankan aktivitas publikasi setiap hari. Karena itu, menjaga WordPress tetap diperbarui adalah bagian dari menjaga seluruh proses publikasi tersebut tetap aman.
Kalau belum update, buka Dashboard → Updates dan lakukan pembaruan ke versi terbaru yang tersedia.
Satu klik untuk update mungkin terlihat sederhana. Tetapi bisa menjadi langkah penting untuk mencegah masalah yang jauh lebih besar.
Referensi: