KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengelola situs berbasis WordPress untuk segera memperbarui inti (core) WordPress dan menindaklanjuti CVE-2026-87902, kerentanan remote file inclusion pada fungsi get_page_template() yang dapat berujung pada remote code execution (RCE) tanpa autentikasi. Kerentanan ini bernilai CVSS 8,1 (High) menurut NVD (CVSS 4.0 pada advisory WordPress: 9,2, Critical) dan telah dimasukkan ke katalog Known Exploited Vulnerabilities (KEV) CISA pada 25 September 2026, yang berarti eksploitasinya sudah teramati di dunia nyata.

Berbeda dengan kerentanan plugin yang hanya mengenai situs tertentu, kerentanan ini berada di inti WordPress sehingga memengaruhi semua situs WordPress pada versi yang rentan. Perbaikan telah diberikan untuk 25 cabang versi, mulai 7.1 hingga cabang lama 4.7, sehingga situs yang masih memakai versi lama pun dapat ditambal tanpa lompatan versi mayor.

Ikhtisar

CVE-2026-87902 adalah kerentanan Improper Control of Filename for Include/Require Statement in PHP Program (CWE-98) dengan vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. Penyerang tanpa akun dapat membuat proses pemilihan templat halaman (page template) pada get_page_template() memuat sebuah berkas .php lokal yang dapat dibaca server, di luar direktori tema yang aktif. Advisory WordPress (GHSA-7hp8-65ch-5whp) menyebutnya sebagai unauthenticated path traversal in page-template resolution leading to conditional RCE.

Kata “conditional” penting. Menurut advisory, eksploitasi hanya berhasil bila dua prasyarat terpenuhi sekaligus:

• Prasyarat tema: tema aktif (atau tema induknya) memiliki direktori tingkat atas yang namanya diawali page-, misalnya page-templates. Ini berlaku untuk tema bawaan lama Twenty Twelve dan Twenty Fourteen, serta sebagian tema pihak ketiga populer seperti Neve, Hestia, dan Sydney.
• Prasyarat server: terdapat berkas PHP lokal yang dapat dibaca akun web server dan dapat disalahgunakan, misalnya pustaka PEAR bila opsi PHP register_argc_argv aktif. Advisory mencatat bahwa image Docker resmi php terdampak, dan konfigurasi bawaan cPanel terdampak bila memakai PHP sebelum 8.5.

Prasyarat tersebut tidak boleh dijadikan alasan menunda. Konfigurasi bawaan sejumlah lingkungan hosting sudah memenuhi prasyarat server, sehingga yang menentukan tinggal tema yang dipakai.

Dampak

• Penyerang dari internet tanpa akun dapat mengeksekusi kode PHP di server situs bila prasyarat terpenuhi, setara dengan pengambilalihan situs dan hak akses akun web server.
• Dengan eksekusi kode, penyerang dapat menanam webshell, mengubah isi situs, mencuri kredensial basis data dari wp-config.php, dan berpindah ke situs lain di server yang sama.
• Berdasarkan pengalaman penanganan insiden di lingkungan Pemerintah Kabupaten Kutai Timur, pengambilalihan situs WordPress adalah pintu masuk yang paling sering berujung pada penyisipan konten judi daring dan pemasangan webshell pada portal instansi.
• Vektor C:H/I:H/A:H menunjukkan kerahasiaan, integritas, dan ketersediaan terdampak penuh.

Sistem yang Terdampak

Rentang terdampak dan versi perbaikan per cabang mengikuti konfigurasi CPE pada NVD dan daftar patched versions pada advisory GHSA-7hp8-65ch-5whp. WordPress 7.1.2 adalah rilis utama yang memuat perbaikan (dirilis 22 September 2026); perbaikan kemudian dibackport ke seluruh cabang yang masih memenuhi syarat menerima perbaikan keamanan, sejauh cabang 4.7. Hanya rilis terbaru WordPress yang didukung secara aktif.

Detail Teknis

WordPress memilih berkas templat untuk sebuah halaman dengan menyusun daftar nama kandidat dari data halaman, lalu mencarinya di direktori tema. Pada versi yang rentan, bagian nama yang berasal dari permintaan pengunjung tidak cukup dikurung sehingga dapat membawa urutan penelusuran direktori (path traversal) yang keluar dari direktori tema. Akibatnya, berkas PHP lokal pilihan penyerang dapat ikut dimuat dan dijalankan oleh WordPress.

Peneliti Patchstack melaporkan pada 22 September 2026 bahwa percobaan eksploitasi pertama teramati beberapa jam setelah perbaikan dirilis, dan pada pembaruan 23 September 2026 menyebutkan bahwa percobaan telah berkembang dari sekadar pengintaian menjadi upaya menulis berkas PHP ke server, dengan alat pemindai publik yang beredar luas. Artinya, pemindaian massal terhadap situs WordPress sudah berlangsung, dan situs yang belum diperbarui dapat ditemukan secara otomatis.

Rincian permintaan dan muatan serangan sengaja tidak dimuat di sini karena dapat langsung dimanfaatkan terhadap situs yang belum ditambal.

Rekomendasi

1. Periksa versi WordPress seluruh situs melalui dasbor (Dashboard → Updates) atau di bagian bawah halaman dasbor. Catat juga situs lama, situs uji, dan situs yang dikelola pihak ketiga.
2. Perbarui inti WordPress segera ke versi perbaikan pada cabang yang dipakai (lihat tabel), atau lebih baik ke WordPress 7.1.2 atau yang lebih baru. Situs yang mengaktifkan pembaruan keamanan otomatis mungkin sudah diperbarui; pastikan hasilnya, jangan berasumsi.
3. Bila pembaruan belum dapat dilakukan, terapkan mitigasi sementara: tolak permintaan yang parameter pagename-nya memuat urutan penelusuran direktori (termasuk bentuk yang dikodekan ganda) pada web server atau reverse proxy, dan nonaktifkan register_argc_argv pada PHP. Mitigasi kedua tidak menutup kerentanannya, tetapi memutus jalur yang paling sering dipakai menuju eksekusi kode. Keduanya hanya langkah sementara.
4. Periksa tema aktif: bila memiliki direktori berawalan page- di tingkat atas, situs memenuhi prasyarat tema. Hapus tema yang tidak dipakai.
5. Periksa tanda penyusupan, terutama pada situs yang sempat berjalan di versi rentan setelah 22 September 2026: berkas .php yang tidak dikenal (termasuk di direktori sementara seperti /tmp dan /var/tmp), akun administrator baru pada menu Users, perubahan berkas pada wp-content/, serta log akses yang memuat parameter pagename berisi urutan penelusuran direktori yang dikodekan.
6. Bila ditemukan indikasi penyusupan, anggap server telah diambil alih: amankan log dan salinan situs sebagai barang bukti, ganti kata sandi administrator, kredensial basis data, serta kunci dan salt pada wp-config.php, lalu pulihkan dari cadangan yang bersih.
7. Lakukan pencadangan berkas dan basis data sebelum memperbarui, agar tersedia titik pemulihan.
8. Laporkan ke KUTIM-CSIRT melalui kanal pelaporan resmi atau csirt@kutaitimurkab.go.id apabila ditemukan indikasi penyusupan.

Catatan Status Eksploitasi

CVE-2026-87902 tercatat di katalog KEV CISA sejak 25 September 2026. Patchstack melaporkan percobaan eksploitasi sejak 22 September 2026, termasuk upaya menulis berkas ke server pada 23 September 2026, serta beredarnya templat pemindai publik. Perangkat Daerah yang memiliki situs WordPress dengan versi rentan perlu memperlakukan situs tersebut sebagai telah dipindai dan memeriksa kemungkinan penyusupannya.

Referensi

• GitHub – GHSA-7hp8-65ch-5whp (advisory WordPress)
• WordPress.org News – WordPress 7.1.2 Release
• WordPress.org – Release Archive
• Patchstack – CVE-2026-87902: Attackers Started Probing WordPress Sites Hours After the Patch
• NVD – CVE-2026-87902
• CISA Known Exploited Vulnerabilities Catalog
• MITRE CWE-98