LiteSpeed Technologies menjelaskan kerentanan LiteSpeed Cache 7.9.2 pada plugin LiteSpeed Cache for WordPress (LSCWP) dalam catatan keamanan 23 Oktober 2026. Tim vendor merilis versi 7.9.2 ke repositori WordPress pada 19 Oktober 2026. LiteSpeed memperbarui daftar stable di control panel pada 23 Oktober 2026. Pemilik situs perlu mengecek versi plugin karena dua celah cross-site scripting (XSS) hanya aktif bila komentar publik dan pengaturan tertentu terpenuhi.
Vendor membahas tiga ID CVE: CVE-2026-113499, CVE-2026-113500, dan CVE-2026-113501. Ketiganya menarget instalasi di bawah 7.9.2. Plugin lama saja tidak otomatis membuat setiap situs WordPress rentan.
Kerentanan LiteSpeed Cache: Tiga CVE dan Syarat Terdampak
Menurut penjelasan LiteSpeed, dua CVE pertama adalah XSS dengan prasyarat yang hampir sama. Situs harus menerima komentar dan mempublikasikan komentar pengunjung tanpa login. Tema atau kode lain juga harus menampilkan nama penulis komentar tanpa escaping. Baru setelah itu pengaturan CDN atau optimasi font menentukan relevansi CVE-2026-113499 atau CVE-2026-113500.
| CVE | Jenis | Pengaturan tambahan (di bawah 7.9.2) | Dampak menurut vendor |
|---|---|---|---|
| CVE-2026-113499 | XSS | Komentar terpublikasi + nama penulis tidak di-escape + CDN Mapping ON, CDN URL terisi, Include Images ON | Skrip dapat berjalan di browser pengunjung halaman terdampak |
| CVE-2026-113500 | XSS | Kondisi komentar sama + Font Display Optimization = Swap | Skrip dapat berjalan di browser pengunjung halaman terdampak |
| CVE-2026-113501 | Missing authorization | Penyerang punya akun minimal Subscriber | Bisa menutup pemberitahuan admin plugin, tanpa akses data atau eksekusi kode |
LiteSpeed menegaskan skrip XSS berjalan dalam konteks hak admin bila pengunjung halaman terdampak sedang login sebagai administrator. Vendor tidak menyebut eksploitasi aktif di laporan 23 Oktober 2026.
Bukan Semua Instalasi Terkena
Situs tanpa kombinasi CDN Mapping dan Include Images untuk CVE-2026-113499 tidak masuk skenario XSS pertama. Begitu pula bila Font Display Optimization Swap nonaktif untuk CVE-2026-113500. Vendor menulis situs tanpa kedua jalur itu tidak terkena XSS yang dijelaskan.
Untuk CVE-2026-113501, risiko muncul hanya bila pihak luar bisa login dengan peran Subscriber atau lebih tinggi. Pendaftaran pengguna terbuka memperlebar peluang itu.
Alur moderasi komentar tetap penting bagi situs yang memakai fitur komentar publik, terutah bila pembaruan plugin belum bisa segera dijalankan. Pembahasan plugin komentar WordPress di codef.id mengingatkan bahwa komentar terbuka sering jadi titik masuk abuse. Patch dan kebijakan publikasi komentar perlu dibaca bersama.
Patch Kerentanan LiteSpeed Cache 7.9.2 dan Timeline
LiteSpeed Cache versi 7.9.2 ke atas sudah memuat perbaikan ketiga CVE. Timeline resmi vendor: patch dan rilis 7.9.2 ke direktori plugin WordPress pada 19 Oktober 2026. LiteSpeed menambahkan entri stable di control panel pada 23 Oktober 2026 saat blog keamanan terbit. Admin dapat memverifikasi nomor versi di menu Plugins pada dashboard WordPress sebelum mengandalkan mitigasi sementara.
Langkah Pemilik Situs
LiteSpeed menyarankan upgrade ke rilis patch resmi 7.9.2 ke atas melalui distribusi plugin resmi. Bila update tertunda, vendor mengizinkan mitigasi XSS dengan moderasi komentar. Langkah itu tidak menutup CVE-2026-113501 terkait otorisasi pemberitahuan admin. Cadangan dan uji singkat setelah update tetap bagian dari praktik pemeliharaan situs, meski vendor tidak menjadikannya persyaratan.
Insiden plugin dan supply chain WordPress lain sempat memicu perhatian pada Oktober 2026, termasuk laporan terkait UpdraftCentral. Artikel insiden keamanan UpdraftPlus menunjukkan pola yang berbeda, namun tetap menggarisbawahi pentingnya memantau versi plugin populer secara rutin.
Setelah pembaruan, periksa kembali apakah cache dan optimasi halaman masih berjalan normal. LiteSpeed tidak merekomendasikan mengedit source plugin manual tanpa panduan resmi. Bila Anda sudah memakai rilis patch terbaru dan rutin memperbarui plugin, vendor menyatakan tidak ada tindakan tambahan wajib terkait tiga CVE ini.
Survei keamanan WordPress di kalangan developer sempat menekankan disiplin patch plugin populer. Tulisan survei keamanan developer WordPress 2026 memuat perspektif berbeda dari laporan vendor. Keduanya tetap setuju versi plugin yang tertinggal menjadi risiko operasional yang perlu diaudit berkala.
