Tim WordPress merilis WordPress 7.1.4 pada 28 Oktober 2026 sebagai rilis keamanan. Paket ini memperbaiki beberapa isu sekaligus. Dalam pengumuman di WordPress.org, tim keamanan meminta pemilik situs memperbarui segera. Situs dengan pembaruan latar belakang otomatis akan memulai proses sendiri. Pengelola lain bisa memakai menu Updates di dashboard atau mengunduh paket dari WordPress.org.
Rilis ini datang sekitar tiga pekan setelah WordPress 7.1.3 menutup tujuh isu keamanan pada 6 Oktober 2026. Pengumuman 7.1.4 menyebutnya rilis berjarak pendek. WordPress menargetkan rilis mayor WordPress 7.2 pada 8 Desember. Tim keamanan juga menyiapkan backport ke cabang lama yang masih memenuhi syarat, saat ini sampai 4.7. Proses itu masih berjalan dan paket terbit begitu siap, menurut halaman rilis. WordPress 7.2 Beta 3 sudah keluar dengan seluruh perbaikan yang berlaku. Kelompok isu 7.1.4 berbeda dari 7.1.3. Versi sebelumnya menyasar halaman komentar admin, ekspor WXR, dan embed Imgur. WP 7.1.4 lebih banyak menyentuh block, Customizer, dan Interactivity API.
Isi perbaikan WordPress 7.1.4: dari upgrade window sampai sertifikat root
Halaman rilis memuat 12 butir kerentanan dan satu pembaruan sertifikat root. Butir paling menonjol adalah kelemahan pada proses upgrade WordPress. Menurut daftar tersebut, celah itu dapat mengarah ke eksekusi kode jarak jauh selama jendela pembaruan. Umut Bayram melaporkannya. Namun, halaman rilis tidak merinci prasyarat serangan atau peran pengguna yang terdampak. Halaman itu tidak menjelaskan exploit lapangan. Frasa RCE pada upgrade window saja tidak membuktikan serangan aktual pada situs tertentu.
Selanjutnya, sebagian besar butir lain berupa stored XSS. Penyerang dapat menyimpan skrip berbahaya di konten. Skrip itu berjalan saat pengunjung membuka halaman. Lokasinya mencakup markup block khusus, permintaan penghapusan data privasi, beberapa kasus Interactivity API, selective refresh Customizer, block Categories, nama login pengguna, block Playlist dan gambar, serta block navigasi halaman komentar. Jon Surrell dari tim keamanan WordPress melaporkan satu isu stored denial of service pada Interactivity API.
Anthropic melaporkan dua butir XSS: permintaan penghapusan data privasi dan nama login pengguna. Rafie Muhammad dari Awesome Motive melaporkan dua XSS lain pada markup block dan selective refresh Customizer. Tetapi anggota tim keamanan WordPress menemukan beberapa butir sisanya. Aaron Jorbin dan Nik Tsekouras memimpin rilis ini. Halaman rilis memuat daftar kontributor lengkap serta tautan ke HelpHub WordPress 7.1.4.
Dua butir lain menyangkut paparan informasi dan izin akses. Pengguna tanpa autentikasi bisa menemukan changeset Customizer yang belum terbit. Pengguna berhak istimewa tanpa akses edit post masih bisa membaca Notes pada post terkait. Akhirnya, pembaruan terakhir mengganti sertifikat root bawaan setelah pencabutan sertifikat eMudhra.
Yang belum dijelaskan halaman rilis
Meski patch penting, halaman rilis tidak mencantumkan nomor CVE, skor keparahan, atau status eksploitasi. Daftar isu juga bukan indikator kompromi. Daftar itu menjelaskan apa yang diperbaiki, bukan situs mana yang sudah terkena. WordPress menegaskan prioritas patch tinggi lewat rekomendasi agar pemilik situs memperbarui segera. Halaman rilis tidak menyebut apakah situs harus memakai Interactivity API atau block Playlist agar terdampak. Eksposur bergantung pada fitur aktif, plugin, peran pengguna, dan log yang hanya pengelola bisa periksa.
Namun, pembaruan otomatis tidak selalu berhasil. Izin berkas, konfigurasi hosting, atau filter pembaruan bisa menghentikan proses. Konfirmasikan nomor versi di setiap situs. WAF, plugin keamanan, dan backup membantu sebagai lapisan lain, namun tidak menggantikan patch core.
Urutan update WordPress 7.1.4 yang bisa dipulihkan
Pengumuman WordPress hanya meminta pembaruan segera. Urutan kerja berikut adalah saran operasional redaksi, bukan bagian rilis. Catat versi core, PHP, tema aktif, dan plugin kritis. Simpan backup yang tim Anda bisa restore saat uji gagal. Bila ada staging dan waktu cukup, uji pembaruan di sana lebih dulu. Untuk patch keamanan, menunda produksi demi pengujian panjang jarang masuk akal. Tim kecil sering memilih smoke test singkat sebagai kompromi.
Setelah pembaruan lewat dashboard atau deployment resmi, pastikan semua lingkungan memakai 7.1.4. Kemudian, periksa frontend, login, editor, cron, formulir, dan log error. Pada multisite atau agensi dengan banyak klien, daftar versi per situs membantu tim melihat instalasi yang masih tertinggal.
Kapan pembaruan saja tidak cukup
Memperbarui ke 7.1.4 menutup celah yang tercantum. Meski demikian, patch tidak menghapus apa pun yang sudah tertanam sebelumnya. Bila muncul akun admin asing, berkas inti berubah, atau konten dan tautan asing, pisahkan penanganan insiden dari proses update. Ulasan tentang cara website bisa diretas lewat backdoor dan SEO spam membantu mengenali pola yang perlu dicari.
Pengelola cabang lama masih menunggu paket backport. Pengumuman menyatakan belum seluruhnya terbit. Cek nomor versi cabang di arsip rilis sebelum Anda menyatakan situs aman. Pengumuman tidak menyebut mitigasi sementara selain pembaruan. Tim yang menyiapkan WordPress 7.2 bisa mengikuti jadwal Beta, RC, dan checklist uji WordPress 7.2 menjelang 8 Desember.
