LiteSpeed Technologies menerbitkan advisory untuk CVE-2026-114190 pada 28 Oktober 2026. Dokumen itu menjelaskan kerentanan sensitive data exposure pada plugin LiteSpeed Cache for WordPress. Vendor menempatkan perbaikan pada versi 7.9.1 sejak 1 September 2026. Saat advisory terbit, versi terkini adalah 7.9.2. LiteSpeed meminta seluruh situs memperbarui plugin. Pelapor kerentanan adalah tim Patchstack.
CVE-2026-114190 hanya relevan bila tiga kondisi bertemu
Vendor menggambarkan paparan ini sebagai kombinasi tiga kondisi. Namun paparan itu hanya realistis bila tiga hal berikut terpenuhi. Pertama, REST API caching aktif. LiteSpeed menulis bahwa opsi ini aktif secara bawaan. Kedua, situs memakai plain permalinks. Vendor juga menulis opsi ini aktif secara bawaan, walau pengaturan permalink tiap situs berbeda sehingga status bawaan tidak bisa diasumsikan tanpa cek.
Ketiga, integrasi sah tanpa cookie memanggil REST API dengan hak admin lewat application password. Contohnya aplikasi seluler, front end headless, atau layanan backup. Application password adalah mekanisme bawaan WordPress. Aplikasi luar memakainya untuk mengautentikasi ke REST API tanpa sesi login browser.
Bila ketiganya terpenuhi, penyerang tanpa autentikasi dapat mengambil data yang normalnya memerlukan akses administrator, menurut advisory. Advisory tidak merinci jenis data yang terpapar, tidak memuat skor CVSS, dan tidak menyebut eksploitasi aktif. Versi plugin yang lama saja belum cukup untuk menyimpulkan situs terpapar. Tanpa integrasi cookieless berhak admin, kondisi ketiga tidak pernah terjadi.
Pembacaan itu menyempitkan kelompok yang perlu memeriksa lebih teliti. Situs headless, situs dengan aplikasi seluler, dan situs yang memberi layanan backup eksternal akses admin lewat application password termasuk contoh vendor. Pengelolanya perlu mencocokkan konfigurasi dengan ketiga kondisi. Blog tanpa integrasi semacam itu tidak memenuhi kondisi ketiga menurut deskripsi advisory. Kesimpulan ini inferensi dari daftar kondisi vendor dan tidak menggantikan pemeriksaan konfigurasi nyata.
Cache REST bertahan tujuh hari secara bawaan
Bagian yang paling mudah terlewat ada pada umur cache. LiteSpeed menulis paparan bertahan selama masa hidup cache REST yang Anda atur. Nilai bawaannya tujuh hari. Hanya Purge All manual dari dashboard WordPress yang membersihkan entri tersebut. Purge terjadwal lewat cron tidak efektif pada skenario ini.
Advisory tidak menguraikan mekanismenya. Tetapi urutan kondisi yang vendor sebutkan menyiratkan respons REST berhak admin bisa tersimpan di cache. Pihak tanpa autentikasi bisa menerima salinan itu selama entri masih hidup. Ini pembacaan redaksi atas teks vendor. Jika benar, risikonya terkait masa simpan data, bukan eksekusi kode di situs. Itu juga menjelaskan mengapa pembersihan cache disebut terpisah dari pembaruan plugin.
Purge All setelah update bila tiga kondisi pernah terpenuhi
Advisory tidak menjelaskan apakah pembaruan ke 7.9.1 atau versi sesudahnya ikut menghapus entri lama sebelum patch. LiteSpeed menulis pembersihan memerlukan Purge All manual. Pembacaan hati-hati: jalankan Purge All setelah update bila situs pernah memenuhi ketiga kondisi. Itu inferensi redaksi, bukan instruksi tertulis vendor. Vendor sendiri menyatakan situs dengan plugin rutin diperbarui tidak perlu tindakan tambahan.
Advisory ditutup dengan ucapan terima kasih kepada Patchstack dan penegasan kerentanan sudah ditambal.
Linimasa Patchstack, rilis 7.9.1, dan advisory publik
Lisa Clarke menulis advisory di blog LiteSpeed. Linimasa di dalamnya memperlihatkan jarak antara perbaikan dan pengumuman. Patchstack memberi tahu LiteSpeed pada 17 Agustus 2026. Versi 7.9.1 masuk repositori WordPress pada 1 September 2026. Advisory publik terbit 28 Oktober 2026, sekitar delapan pekan kemudian. Versi terpasang jadi pembeda utama. Situs yang sudah menjalankan 7.9.1 atau lebih baru memakai kode perbaikan sebelum CVE diumumkan.
Changelog plugin di WordPress.org selaras dengan tanggal itu. Entri 7.9.1 bertanggal 1 September 2026. Halaman plugin menampilkan 7.9.2 sebagai versi terkini per 29 Oktober 2026, saat artikel ini disusun. Entri 7.9.1 memuat perubahan aturan URI cache. Aturan itu membandingkan query string dengan dua penulisan rute REST, termasuk untuk situs plain permalink. Perubahan itu sejalan dengan kondisi kedua dalam advisory. Changelog tidak mengaitkannya dengan CVE-2026-114190. Hubungannya tetap dugaan, bukan fakta yang vendor konfirmasi.
CVE-2026-114190 berbeda dari tiga CVE pada versi 7.9.2
Pengumuman ini terpisah dari advisory 23 Oktober 2026 tentang tiga kerentanan yang diperbaiki di LiteSpeed Cache 7.9.2. CVE terkait adalah CVE-2026-113499, CVE-2026-113500, dan CVE-2026-113501. Ketiganya menyangkut pengaturan CDN, optimasi font, dan otorisasi pemberitahuan admin, masing-masing dengan prasyarat sendiri. Versi 7.9.2 ke atas memuat perbaikan untuk kedua kumpulan advisory itu. Prasyarat dan tingkat dampaknya tidak boleh dicampur.
Langkah defensif dan batas penanganan insiden
Bagi pengelola banyak situs, pekerjaan awalnya berupa inventaris. Berikut hal yang perlu Anda catat: versi LiteSpeed Cache, status REST API caching, jenis permalink, dan integrasi yang memakai application password. Situs di bawah 7.9.1 perlu naik ke versi terbaru. Purge All masuk daftar tindakan bila konfigurasi pernah memenuhi ketiga kondisi.
Purge All menghapus seluruh cache plugin. Situs bisa terasa lebih lambat sementara cache dibangun ulang. Jam sepi lalu lintas masuk akal untuk menjalankannya.
Peninjauan log paling berguna bila Anda arahkan pada skenario advisory. Lacak panggilan REST API berhak admin dari integrasi tanpa cookie. Lalu bandingkan dengan permintaan ke rute yang sama dari pihak lain selama entri cache masih hidup. Umur cache bawaan tujuh hari, jadi jendela log mengikuti pengaturan cache masing-masing situs. Nilai itu bisa pengelola ubah, jadi cek dulu di tiap instalasi.
Meski update plugin tetap wajib, bila log atau temuan lain menunjukkan data sudah terambil, penanganannya berpindah dari sekadar update ke respons insiden. Tinjau log akses REST API. Cabut lalu buat ulang application password pada integrasi terkait. Nilai kredensial atau sesi lain yang mungkin berhubungan dengan data terpapar.
Akhirnya, dua hal belum terjawab advisory: jenis data yang terpapar dan perilaku cache lama setelah update. Pengelola yang butuh kepastian dapat menunggu keterangan LiteSpeed atau Patchstack. Nomor versi, konfigurasi REST cache, dan hasil Purge All pada tiap situs tetap bisa Anda periksa langsung.
