WordPress: race condition TOCTOU memungkinkan remote code execution tanpa autentikasi

WordPress Core rentan terhadap Remote Code Execution pada versi 4.7 hingga 7.1.3. Penyebabnya adalah path staging yang dapat diprediksi dan dapat diakses melalui web yang digunakan saat full-package core upgrades. Kondisi ini membuat penyerang tanpa autentikasi dapat mengeksekusi kode pada server selama jendela upgrade.

Kerentanan ini dapat mengganggu kerahasiaan, integritas, dan ketersediaan layanan WordPress. Karena penyerang dapat mengeksekusi kode dari jaringan tanpa autentikasi, dampaknya dapat mencakup pengambilalihan server, perubahan konten, pencurian data, dan gangguan operasional yang memengaruhi layanan publik maupun internal.

Status KEV dan laporan eksploitasi aktif berarti risiko pemanfaatan di dunia nyata sudah nyata, meski EPSS tercatat 0.006. Jika server memproses data pribadi, insiden juga dapat memicu risiko kepatuhan, termasuk kewajiban penanganan insiden dan evaluasi dampak terhadap data sesuai UU PDP. Prioritaskan penanganan segera.

Akar masalah

Celah ini adalah race condition TOCTOU yang berkaitan dengan CWE-367. WordPress Core menggunakan staging path yang dapat diprediksi dan dapat diakses melalui web saat full-package core upgrades. Selama proses upgrade, ada jendela waktu ketika penyerang dapat memanfaatkan kondisi tersebut untuk memicu eksekusi kode.

Kondisi yang dibutuhkan

Berdasarkan deskripsi, penyerang tidak memerlukan autentikasi. Serangan dilakukan dari jaringan. Kondisi pentingnya adalah server sedang berada dalam jendela upgrade.

Arti metrik CVSS

• Attack Vector: N. Serangan dapat dilakukan dari jaringan.
• Attack Complexity: H. Serangan memerlukan kondisi yang lebih sulit dan bergantung pada timing upgrade.
• Privileges Required: N. Tidak diperlukan hak akses awal.
• User Interaction: N. Tidak memerlukan interaksi pengguna.
• Confidentiality, Integrity, Availability: H/H/H. Dampaknya tinggi pada kerahasiaan, integritas, dan ketersediaan.

1. Perbarui ke WordPress 7.1.4.
2. Terapkan mitigasi sesuai instruksi vendor, dan ikuti panduan CISA BOD 26-04 Prioritizing Security Updates Based on Risk serta CISA “Forensics Triage Requirements” (perlu diverifikasi).
3. Jika mitigasi belum dapat diterapkan, batasi akses jaringan ke layanan yang terkait selama jendela upgrade (perlu diverifikasi).
4. Nonaktifkan atau jadwalkan ulang proses upgrade penuh bila memungkinkan sampai pembaruan selesai diterapkan (perlu diverifikasi).
5. Perketat hak akses pada server dan komponen administratif yang terkait dengan proses upgrade (perlu diverifikasi).
6. Jika mitigasi tidak tersedia, hentikan penggunaan produk atau layanan terkait sesuai arahan CISA, terutama untuk aset yang terekspos ke internet.
7. Prioritaskan penanganan sesuai due date CISA 2026-11-06.

1. Inventaris semua instans WordPress dan verifikasi versi yang terpasang terhadap daftar versi terdampak.
2. Tinjau log aplikasi dan web server selama periode upgrade penuh untuk aktivitas yang tidak wajar pada proses upgrade atau file staging yang terkait.
3. Cari anomali yang konsisten dengan akses tidak semestinya selama jendela upgrade, termasuk eksekusi proses yang tidak biasa, perubahan file yang tidak diharapkan, atau penyimpangan perilaku layanan.
4. Periksa referensi resmi yang tercantum untuk informasi tambahan dan pembaruan terkait kerentanan ini.
5. Jika organisasi memiliki telemetri keamanan, korelasikan aktivitas upgrade dengan peristiwa eksekusi kode yang tidak lazim pada server (perlu diverifikasi).