Kamis pagi, waktunya ngopi sambil cek notifikasi update. Pekan ini ada tiga kabar yang layak masuk daftar tugasmu: inti WordPress yang sedang diserang, pengelola paket APT di Debian dan Ubuntu yang bisa dipelintir, serta Metabase yang mendapat skor kerentanan sempurna. Periode liputan: 3 sampai 5 November 2026 (WIB).
Sekilas Hari Ini
| Kabar | Identitas | Status | Yang perlu dilakukan |
|---|---|---|---|
| WordPress Core, race condition saat update | CVE-2026-119977 (CVSS 8.1 versi Wordfence) | Dieksploitasi, masuk katalog KEV CISA | Update ke 7.1.4 atau versi perbaikan cabangmu |
| APT (Debian/Ubuntu) | CVE-2026-109518 | Belum ada laporan eksploitasi | Update paket apt |
| Metabase | CVE-2026-72898 (CVSS 10.0) | Dieksploitasi, PoC publik | Upgrade, lalu rotasi kredensial |
1. WordPress Core: Celah Muncul Justru Saat Update
Ironis, tapi nyata: celah ini terbuka ketika WordPress sedang memperbarui dirinya sendiri. Menurut laporan The Hacker News, CISA mengonfirmasi CVE-2026-119977 dieksploitasi dan menambahkannya ke katalog KEV pada 3 November. Instansi sipil federal AS diberi tenggat 6 November untuk menambal.
Masalahnya berupa race condition. Saat update dengan paket lengkap, file baru diekstrak ke folder sementara yang lokasinya mudah ditebak dan bisa diakses lewat web. Penyerang tanpa akun yang berhasil menyelip di jendela waktu itu berpotensi menjalankan kode di server. Wordfence mencatat lebih dari 18.500 permintaan yang menyasar jalur installer sementara dalam 21 jam pertama setelah pengungkapan publik. Perlu dicatat, pihak WordPress sendiri menilai tingkat keparahannya rendah, sedangkan skor 8.1 datang dari Wordfence, dan belum ada laporan kompromi situs yang terkonfirmasi.
Versi perbaikan sudah rilis sejak 28 Oktober: 7.1.4 untuk cabang terbaru, dengan backport ke cabang lama sampai 4.7 (misalnya 7.0.8, 6.9.11, 6.8.12). Cabang 4.6 ke bawah tidak mendapat perbaikan. Sebagian besar situs seharusnya sudah terbarui lewat auto-update, tetapi jangan berasumsi: buka Dasbor, lihat versimu, dan pastikan. Bila hosting-mu mengizinkan, memblokir akses web ke folder wp-content/upgrade/ adalah lapisan pengaman tambahan.
2. APT: Paket yang Sudah Diverifikasi Bisa Ditukar
Para pengguna Debian, Ubuntu, dan turunannya perlu menjalankan update hari ini. CVE-2026-109518 memungkinkan penyerang yang bisa mengutak-atik lalu lintas HTTP antara APT dan server paket (misalnya lewat mirror atau proxy jahat) menukar paket yang sudah lolos verifikasi dengan paket buatannya, yang kemudian berjalan sebagai root. Triknya memanfaatkan pengulangan unduhan (retry) lewat pengalihan HTTP dan error sementara. Peneliti yang dikreditkan adalah Max Justicz.
Debian dan Ubuntu merilis advisori pada 4 November. Ubuntu menerbitkan build perbaikan, antara lain 3.3.3ubuntu0.1 (26.10), 3.2.1ubuntu0.1 (26.04 LTS), 2.8.4ubuntu0.1 (24.04 LTS), dan 2.4.15ubuntu0.1 (22.04 LTS). Ubuntu menilai prioritasnya tinggi (CVSS 4.0 skor 7.7), sedangkan pengembang APT menyebutnya kritis. Retry bawaan aktif sejak Debian 12 dan Ubuntu 22.04; di rilis lebih tua, risikonya ada bila skripmu memasang Acquire::Retries. Sumber saya belum menjelaskan apakah repositori HTTPS ikut terdampak, jadi anggap itu belum pasti.
sudo apt update
sudo apt install --only-upgrade apt
apt --version3. Metabase: Skor 10, Dieksploitasi, PoC Beredar
Badan Keamanan Siber Singapura (CSA) pada 4 November mengingatkan eksploitasi aktif CVE-2026-72898 di Metabase, alat BI yang sering menyimpan akses ke database perusahaan. Penyerang jarak jauh tanpa autentikasi dapat menyuntikkan SQL ke basis data aplikasi dan memperoleh akses admin; bukti konsep eksploitnya sudah publik. Versi terdampak mencakup cabang 0.58 sampai 0.63 dan 1.58 sampai 1.63 sebelum rilis tambalan (misalnya 0.63.5 dan 1.63.5).
Setelah upgrade, CSA menyarankan mencabut sesi aktif, memeriksa akun admin dan kunci API, merotasi kredensial database yang terhubung, serta menelaah log. Bila belum bisa upgrade, blokir sementara endpoint /api/session/reset_password.
Catatan Singkat: Pencurian Kripto Rekor di Binance
Di luar urusan tambal-menambal, laporan AP pada 30 Oktober menyebut sekitar US$6,3 miliar berpindah dari dompet Binance, mayoritas dalam sekitar 20 menit. TRM Labs menilai dengan keyakinan tinggi pelakunya TraderTraitor asal Korea Utara; Chainalysis menyebutnya “kemungkinan”. Binance menyatakan akan menutup seluruh kerugian dan belum membenarkan identitas pelaku. Atribusi ini masih klaim analis, bukan putusan final.
Benang Merah Hari Ini
Ketiga kabar utama punya pola sama: celah ada di proses yang kita percayai begitu saja, yaitu update, pengunduhan paket, dan dasbor analitik. Pelajarannya sederhana tetapi sering terlewat: cek versi secara berkala, pastikan auto-update benar-benar jalan, dan jangan menaruh alat internal seperti Metabase terbuka ke internet tanpa lapisan perlindungan. Untuk ulasan Kamis pekan lalu, baca celah Oracle EBS, update Chrome dan Firefox, serta penipuan helpdesk palsu di Teams.
Kamu pakai yang mana di antara ketiganya? Ceritakan di kolom komentar, dan kalau ada rekan yang mengelola blog WordPress atau server Ubuntu, kirimkan tulisan ini ke mereka.
Sumber
- The Hacker News: CISA Confirms Hackers Exploiting WordPress Core Flaw During Software Upgrades
- Rescana: WordPress Core 7.1.4 upgrade staging race RCE
- The Hacker News: Debian and Ubuntu APT Flaw Lets MitM Attackers Swap Verified Packages
- CSA Singapura: Active Exploitation of Metabase Vulnerability (AL-2026-158)
- AP via KBTX: North Korea linked to $6.3 billion hack on Binance
Tinggalkan Balasan