# Kamis Keamanan Siber: WordPress Core Dieksploitasi Saat Update, Celah APT di Debian/Ubuntu, dan Metabase Skor 10

- Link: https://legawa.com/teknologi/keamanan-siber-wordpress-core-apt-metabase-kamis-5-nov-2026/
- Published: 2026-11-05T03:35:42+07:00
- Author: Cahya

Kamis pagi, waktunya ngopi sambil cek notifikasi update. Pekan ini ada tiga kabar
yang layak masuk daftar tugasmu: inti WordPress yang sedang diserang, pengelola 
paket APT di Debian dan Ubuntu yang bisa dipelintir, serta Metabase yang mendapat
skor kerentanan sempurna. Periode liputan: 3 sampai 5 November 2026 (WIB).

## Sekilas Hari Ini

| Kabar | Identitas | Status | Yang perlu dilakukan | 
| WordPress Core, race condition saat update | CVE-2026-119977 (CVSS 8.1 versi Wordfence) | Dieksploitasi, masuk katalog KEV CISA | Update ke 7.1.4 atau versi perbaikan cabangmu | 
| APT (Debian/Ubuntu) | CVE-2026-109518 | Belum ada laporan eksploitasi | Update paket apt | 
| Metabase | CVE-2026-72898 (CVSS 10.0) | Dieksploitasi, PoC publik | Upgrade, lalu rotasi kredensial |

## 1. WordPress Core: Celah Muncul Justru Saat Update

Ironis, tapi nyata: celah ini terbuka ketika WordPress sedang memperbarui dirinya
sendiri. Menurut laporan The Hacker News, CISA mengonfirmasi CVE-2026-119977 dieksploitasi
dan menambahkannya ke katalog KEV pada 3 November. Instansi sipil federal AS diberi
tenggat 6 November untuk menambal.

Masalahnya berupa _race condition_. Saat update dengan paket lengkap, file baru 
diekstrak ke folder sementara yang lokasinya mudah ditebak dan bisa diakses lewat
web. Penyerang tanpa akun yang berhasil menyelip di jendela waktu itu berpotensi
menjalankan kode di server. Wordfence mencatat lebih dari 18.500 permintaan yang
menyasar jalur installer sementara dalam 21 jam pertama setelah pengungkapan publik.
Perlu dicatat, pihak WordPress sendiri menilai tingkat keparahannya rendah, sedangkan
skor 8.1 datang dari Wordfence, dan belum ada laporan kompromi situs yang terkonfirmasi.

Versi perbaikan sudah rilis sejak 28 Oktober: 7.1.4 untuk cabang terbaru, dengan
backport ke cabang lama sampai 4.7 (misalnya 7.0.8, 6.9.11, 6.8.12). Cabang 4.6 
ke bawah tidak mendapat perbaikan. Sebagian besar situs seharusnya sudah terbarui
lewat auto-update, tetapi jangan berasumsi: buka Dasbor, lihat versimu, dan pastikan.
Bila hosting-mu mengizinkan, memblokir akses web ke folder `wp-content/upgrade/`
adalah lapisan pengaman tambahan.

## 2. APT: Paket yang Sudah Diverifikasi Bisa Ditukar

Para pengguna Debian, Ubuntu, dan turunannya perlu menjalankan update hari ini. 
CVE-2026-109518 memungkinkan penyerang yang bisa mengutak-atik lalu lintas HTTP 
antara APT dan server paket (misalnya lewat mirror atau proxy jahat) menukar paket
yang sudah lolos verifikasi dengan paket buatannya, yang kemudian berjalan sebagai
root. Triknya memanfaatkan pengulangan unduhan (_retry_) lewat pengalihan HTTP dan
error sementara. Peneliti yang dikreditkan adalah Max Justicz.

Debian dan Ubuntu merilis advisori pada 4 November. Ubuntu menerbitkan build perbaikan,
antara lain 3.3.3ubuntu0.1 (26.10), 3.2.1ubuntu0.1 (26.04 LTS), 2.8.4ubuntu0.1 (
24.04 LTS), dan 2.4.15ubuntu0.1 (22.04 LTS). Ubuntu menilai prioritasnya tinggi (
CVSS 4.0 skor 7.7), sedangkan pengembang APT menyebutnya kritis. Retry bawaan aktif
sejak Debian 12 dan Ubuntu 22.04; di rilis lebih tua, risikonya ada bila skripmu
memasang `Acquire::Retries`. Sumber saya belum menjelaskan apakah repositori HTTPS
ikut terdampak, jadi anggap itu belum pasti.

    ```wp-block-code
    sudo apt update
    sudo apt install --only-upgrade apt
    apt --version
    ```

## 3. Metabase: Skor 10, Dieksploitasi, PoC Beredar

Badan Keamanan Siber Singapura (CSA) pada 4 November mengingatkan eksploitasi aktif
CVE-2026-72898 di Metabase, alat BI yang sering menyimpan akses ke database perusahaan.
Penyerang jarak jauh tanpa autentikasi dapat menyuntikkan SQL ke basis data aplikasi
dan memperoleh akses admin; bukti konsep eksploitnya sudah publik. Versi terdampak
mencakup cabang 0.58 sampai 0.63 dan 1.58 sampai 1.63 sebelum rilis tambalan (misalnya
0.63.5 dan 1.63.5).

Setelah upgrade, CSA menyarankan mencabut sesi aktif, memeriksa akun admin dan kunci
API, merotasi kredensial database yang terhubung, serta menelaah log. Bila belum
bisa upgrade, blokir sementara endpoint `/api/session/reset_password`.

## Catatan Singkat: Pencurian Kripto Rekor di Binance

Di luar urusan tambal-menambal, laporan AP pada 30 Oktober menyebut sekitar US$6,3
miliar berpindah dari dompet Binance, mayoritas dalam sekitar 20 menit. TRM Labs
menilai dengan keyakinan tinggi pelakunya TraderTraitor asal Korea Utara; Chainalysis
menyebutnya “kemungkinan”. Binance menyatakan akan menutup seluruh kerugian dan 
belum membenarkan identitas pelaku. Atribusi ini masih klaim analis, bukan putusan
final.

## Benang Merah Hari Ini

Ketiga kabar utama punya pola sama: celah ada di proses yang kita percayai begitu
saja, yaitu update, pengunduhan paket, dan dasbor analitik. Pelajarannya sederhana
tetapi sering terlewat: cek versi secara berkala, pastikan auto-update benar-benar
jalan, dan jangan menaruh alat internal seperti Metabase terbuka ke internet tanpa
lapisan perlindungan. Untuk ulasan Kamis pekan lalu, baca [celah Oracle EBS, update Chrome dan Firefox, serta penipuan helpdesk palsu di Teams](https://legawa.com/2026/10/29/keamanan-siber-oracle-ebs-chrome-firefox-teams-kamis-29-okt-2026/).

Kamu pakai yang mana di antara ketiganya? Ceritakan di kolom komentar, dan kalau
ada rekan yang mengelola blog WordPress atau server Ubuntu, kirimkan tulisan ini
ke mereka.

## Sumber

 * [The Hacker News: CISA Confirms Hackers Exploiting WordPress Core Flaw During Software Upgrades](https://thehackernews.com/2026/11/cisa-confirms-hackers-exploiting.html)
 * [Rescana: WordPress Core 7.1.4 upgrade staging race RCE](https://www.rescana.com/post/wordpress-core-7-1-4-upgrade-staging-race-rce)
 * [The Hacker News: Debian and Ubuntu APT Flaw Lets MitM Attackers Swap Verified Packages](https://thehackernews.com/2026/11/debian-and-ubuntu-apt-flaw-lets-mitm.html)
 * [CSA Singapura: Active Exploitation of Metabase Vulnerability (AL-2026-158)](https://csa.gov.sg/alerts-and-advisories/alerts/al-2026-158)
 * [AP via KBTX: North Korea linked to $6.3 billion hack on Binance](https://www.kbtx.com/2026/10/30/north-korea-linked-63-billion-hack-binance-blockchain-intelligence-firms-say/)