Ideax Digital | WordPress 7.0.4 Telah Rilis – Baru enam hari yang lalu kami membahas WordPress 7.0.3 di blog ini, dimana rilis keamanan yang menambal 12 kerentanan sekaligus, dan belum juga seminggu berlalu, WordPress kembali merilis update keamanan baru: WordPress 7.0.4, yang resmi tersedia sejak 12 Agustus 2026.
Kalau Anda sempat berpikir “sudah update minggu lalu, harusnya aman sampai beberapa bulan ke depan“, rilis ini jadi pengingat penting bahwa siklus keamanan software sebesar WordPress bergerak jauh lebih cepat dari asumsi kebanyakan orang.
Yang membedakan rilis kali ini dari yang sebelumnya: kalau WordPress 7.0.3 menambal 12 kerentanan dengan tingkat keparahan yang bervariasi, WordPress 7.0.4 justru fokus menambal satu kerentanan tunggal, tapi dengan kategori yang jauh lebih serius dari sisi konsekuensi teknis: remote code execution, atau RCE.
Kalau kerentanan XSS (yang banyak muncul di rilis sebelumnya) memungkinkan penyerang menjalankan script di browser pengunjung atau admin, RCE berarti penyerang bisa menjalankan kode apa pun langsung di server Anda, level akses yang jauh lebih dalam dan jauh lebih merusak kalau berhasil dieksploitasi.
Ideax Digital sebagai SEO Agency Indonesia terbaik dan ternama sejak 2005 yang menyediakan layanan Jasa SEO Indonesia dan telah membantu berbagai bidang industri bisnis dalam Optimasi SEO dan AI Search, dalam artikel ini akan membahas tentang WordPress 7.0.4 Rilis Dengan Tambal Celah RCE, kenapa kombinasi Imagick dan Ghostscript jadi titik lemah yang krusial, siapa saja yang perlu waspada meski tidak semua website terdampak, cara mengecek apakah website Anda termasuk yang berisiko, dan langkah-langkah yang perlu segera diambil.
Kalau Anda baru saja update ke WordPress 7.0.3 minggu lalu dan berpikir sudah cukup aman untuk sementara, artikel ini penting untuk memastikan Anda tidak melewatkan satu langkah lagi yang sama pentingnya.
Apa Yang Baru Di WordPress 7.0.4?
WordPress 7.0.4 diumumkan pada 12 Agustus 2026, dipimpin oleh John Blackbourn dengan kontribusi signifikan dari Dennis Snell dan Jeremy Felt. Ini adalah rilis maintenance keempat dalam jalur versi 7.0 “Armstrong” sejak rilis major-nya pada 20 Mei 2026, dan security release ketiga berturut-turut setelah 7.0.2 (Juli) dan 7.0.3 (awal Agustus).
Baca juga: WordPress 7.0.3 Telah Rilis Dengan Update Keamanan Penting.
Berbeda dengan 7.0.3 yang menambal 12 kerentanan dengan berbagai jenis dan tingkat keparahan, WordPress 7.0.4 murni berisi satu perbaikan keamanan tunggal. Kerentanan ini dilaporkan oleh tim pwn.ai lewat jalur responsible disclosure, dan sudah punya referensi resmi CVE-2026-65640 / GHSA-8vr3-7mxf-gx8w.
Perbaikannya juga langsung di-backport ke seluruh cabang WordPress yang masih mendapat dukungan keamanan hingga versi 4.7, dan sudah masuk ke WordPress 7.1 Release Candidate 3 yang dirilis di hari yang sama, menjelang rilis major 7.1 yang dijadwalkan 19 Agustus 2026.
Detail Kerentanan: RCE via Upload File di Imagick dan Ghostscript
Kerentanan yang ditambal di rilis ini adalah authenticated Author+ remote code execution melalui upload file berbahaya, yang secara spesifik hanya berlaku pada situs yang menggunakan kombinasi Imagick dan Ghostscript untuk pemrosesan gambar.
Supaya lebih jelas, mari uraikan dua istilah teknis ini:
- Imagick adalah library PHP yang menjadi jembatan ke ImageMagick, software pengolahan gambar yang sering dipakai WordPress sebagai alternatif dari library GD bawaan untuk memproses upload gambar, resize, crop, konversi format, dan operasi gambar lain yang lebih kompleks.Banyak plugin galeri, plugin optimasi gambar, dan tema premium yang menggunakan Imagick karena kemampuannya menangani format file yang lebih beragam dibanding GD, termasuk PDF dan EPS.
- Ghostscript adalah interpreter untuk file PostScript dan PDF, yang biasanya dipanggil di belakang layar oleh ImageMagick/Imagick ketika WordPress perlu memproses atau menghasilkan preview dari file PDF, misalnya untuk membuat thumbnail otomatis dari dokumen PDF yang diupload ke media library.
Kombinasi kedua tool inilah yang jadi titik lemah. Kerentanan ini memungkinkan seorang user dengan level akses Author ke atas yang secara default sudah punya izin upload file media, atau mengunggah file yang dirancang khusus sehingga ketika diproses oleh Imagick yang memanggil Ghostscript di belakang layar, file itu memicu eksekusi kode di level server, bukan sekadar diproses sebagai gambar biasa.
Pola kerentanan yang secara historis dikenal luas di dunia keamanan sebagai celah terkait ImageMagick/Ghostscript (mengingatkan pada kelas kerentanan yang beberapa tahun lalu populer disebut “ImageTragick” di komunitas keamanan web, meski detail teknis kerentanan kali ini spesifik untuk konteks WordPress 7.0.4).
Kenapa RCE Lebih Serius Dibanding Kerentanan XSS Biasa
Penting dipahami skala keparahannya secara proporsional. Kalau dibandingkan dengan rilis WordPress 7.0.3 minggu lalu yang menambal 12 kerentanan (sebagian besar berjenis XSS dan information disclosure), rilis WordPress 7.0.4 ini “cuma” menambal satu kerentanan. Tapi jangan sampai jumlah yang lebih sedikit membuat Anda meremehkan urgensinya.
XSS (cross-site scripting) pada dasarnya membatasi penyerang untuk menjalankan script di sisi browser, bisa dipakai mencuri sesi login, memanipulasi tampilan halaman untuk pengunjung tertentu, atau menyisipkan konten berbahaya yang dilihat user lain. Dampaknya serius, tapi masih dalam lingkup interaksi browser.
RCE (remote code execution) beroperasi di level yang sama sekali berbeda: penyerang bisa menjalankan perintah apa pun langsung di server tempat website Anda berjalan.
Begitu berhasil, penyerang berpotensi membaca dan mengubah seluruh file di server, mengakses database penuh (termasuk data pelanggan dan kredensial), memasang backdoor permanen yang bertahan meski WordPress sudah di-update, menjadikan server Anda sebagai batu loncatan untuk menyerang server lain di jaringan hosting yang sama, atau menggunakan resource server Anda untuk aktivitas ilegal seperti cryptojacking atau spam relay. Inilah alasan kenapa meski “cuma satu kerentanan“, WordPress 7.0.4 tetap layak diperlakukan sama seriusnya bahkan dalam beberapa hal lebih serius dibanding rilis sebelumnya yang menambal 12 kerentanan sekaligus.
Satu hal yang sedikit meredakan urgensinya: kerentanan ini butuh syarat authenticated Author+, artinya penyerang harus sudah punya akun dengan level akses Author atau lebih tinggi di website Anda untuk bisa mengeksploitasinya tidak bisa dilakukan sepenuhnya anonim seperti kerentanan pre-auth di WordPress 7.0.3 minggu lalu.
Tapi ini bukan alasan untuk santai, karena akun Author bisa didapat lewat berbagai cara:
- Kredensial yang bocor atau lemah,
- Akun kontributor tamu yang tidak dikelola dengan baik, atau bahkan
- Situs membership/komunitas di mana user bisa mendaftar dan naik level ke Author secara sah.
Siapa yang Perlu Waspada?
Tidak semua website WordPress otomatis terdampak kerentanan ini hanya yang benar-benar menggunakan kombinasi Imagick dan Ghostscript untuk pemrosesan gambar.
Beberapa skenario umum yang membuat sebuah website memakai kombinasi ini:
- Plugin galeri atau optimasi gambar premium, yang secara eksplisit memilih Imagick sebagai image processing library, bukan GD bawaan biasanya karena butuh kualitas resize yang lebih baik atau dukungan format file lebih luas.
- Fitur upload dan preview PDF, plugin yang menghasilkan thumbnail otomatis dari dokumen PDF yang diupload, umum dipakai di website yang menyediakan katalog produk berbentuk PDF, brosur digital, atau dokumen yang bisa dipratinjau tanpa perlu diunduh dulu.
- Tema atau plugin yang menangani watermark otomatis, pada gambar produk atau foto yang diupload user, yang sering memanfaatkan kemampuan pemrosesan lanjutan dari ImageMagick.
- Website dengan fitur upload dari komunitas atau membership, di mana user (bukan cuma admin) diberi akses upload file semakin banyak jenis file yang diizinkan diupload, semakin besar permukaan risiko dari kerentanan jenis ini.
- Hosting yang secara default mengaktifkan Imagick,sebagai library pemrosesan gambar utama alih-alih GD, yang cukup umum di hosting managed WordPress kelas menengah ke atas karena performa Imagick yang lebih baik untuk operasi gambar kompleks.
Kalau website Anda sederhana cuma pakai upload gambar JPG/PNG standar tanpa plugin PDF preview atau galeri advanced, kemungkinan besar Anda tidak memakai kombinasi Imagick+Ghostscript secara aktif. Tapi cara paling pasti untuk tahu tetap dengan pengecekan langsung, bukan asumsi.
Yang membuat identifikasi ini agak tricky buat sebagian pemilik website: keputusan memakai Imagick sering kali bukan keputusan yang Anda buat secara sadar.
Banyak plugin populer secara otomatis mendeteksi ketersediaan Imagick di server dan memilihnya sebagai default processing engine kalau tersedia, tanpa menampilkan notifikasi eksplisit ke pengguna plugin. Artinya, Anda bisa saja sudah memakai kombinasi ini selama bertahun-tahun tanpa pernah benar-benar menyadarinya sampai muncul rilis keamanan seperti ini yang mengharuskan Anda mengecek ulang konfigurasi teknis yang selama ini berjalan di belakang layar tanpa banyak diperhatikan.
Cara Mengecek Apakah Website Anda Terdampak
- Cek Site Health di WordPress, buka Dashboard → Tools → Site Health → tab Info, lalu cari bagian “Media Handling.” Di situ akan tertera library pemrosesan gambar apa yang aktif digunakan (Imagick atau GD).
- Audit plugin yang berhubungan dengan gambar dan PDF, periksa daftar plugin aktif, cari yang berhubungan dengan galeri, optimasi gambar, watermark, atau preview dokumen, lalu cek dokumentasi masing-masing plugin apakah mereka memakai Imagick.
- Cek dengan hosting provider Anda, beberapa hosting mengaktifkan Imagick secara default di level server terlepas dari plugin yang Anda pakai, jadi konfirmasi langsung ke tim support hosting bisa memberi kepastian lebih cepat.
- Kalau ragu, anggap saja berisiko dan update segera, karena update ke WordPress 7.0.4 tidak merugikan situs yang tidak terdampak sekalipun, langkah paling aman adalah tetap update tanpa perlu menunggu kepastian 100% apakah situs Anda memakai Imagick atau tidak.
Dampak Bisnis Kalau Server Sampai Dikuasai Lewat RCE
Kalau di artikel sebelumnya soal WordPress 7.0.3 kita bahas dampak SEO dari website yang di-blacklist atau disusupi spam, kerentanan RCE di WordPress 7.0.4 ini membawa risiko yang levelnya lebih dalam lagi, karena bicara soal kendali penuh atas server, bukan cuma konten website.
Beberapa konsekuensi yang perlu dipahami:
- Akses ke seluruh data di server, bukan cuma database WordPress termasuk file konfigurasi, kredensial database, dan kalau server itu di-share dengan aplikasi atau website lain (umum di shared hosting), berpotensi berdampak lebih luas dari satu website saja.
- Backdoor yang bertahan meski WordPress sudah di-update begitu penyerang punya akses level server, mereka bisa menanam script berbahaya di luar direktori WordPress yang tidak hilang meski Anda update core, plugin, dan tema.
- Resource server disalahgunakan untuk aktivitas seperti cryptojacking (menambang cryptocurrency memakai resource server Anda) atau dijadikan bagian dari botnet dampaknya bisa berupa biaya hosting membengkak atau performa website melambat drastis tanpa penyebab yang jelas.
- Kewajiban pelaporan insiden data kalau server yang disusupi menyimpan data pelanggan (nama, email, riwayat transaksi), ada kemungkinan implikasi kepatuhan terhadap regulasi perlindungan data yang perlu ditindaklanjuti, tergantung skala dan jenis data yang berpotensi terekspos.
Ini semua alasan kenapa kerentanan RCE meski butuh syarat akses Author+ untuk dieksploitasi tidak boleh dianggap remeh hanya karena “cuma satu kerentanan” dibanding rilis sebelumnya yang menambal 12 sekaligus.
Tiga Security Release dalam Kurang dari Sebulan
Kalau ditarik garis waktu, sejak WordPress 7.0 rilis pada 20 Mei 2026, sudah ada empat rilis maintenance:
- WordPress 7.0.1 (9 Juli, bug fix),
- WordPress 7.0.2 (17 Juli, security),
- WordPress 7.0.3 (6 Agustus, security, 12 kerentanan), dan sekarang
- WordPress 7.0.4 (12 Agustus, security, 1 kerentanan kritikal).
Tiga dari empat rilis maintenance ini murni security release, dan jaraknya makin rapat menjelang rilis major WordPress 7.1 yang dijadwalkan 19 Agustus.
Pola ini konsisten dengan yang sudah kami singgung di pembahasan WordPress 7.0.3 minggu lalu: frekuensi security release yang rapat mencerminkan ekosistem responsible disclosure yang aktif, bukan indikasi WordPress sebagai platform yang tiba-tiba jadi lebih rentan. .
Yang berbeda dari WordPress 7.0.4 dibanding dua rilis security sebelumnya adalah fokusnya yang sangat spesifik satu kerentanan, satu kombinasi library tertentu dibanding cakupan yang lebih luas di WordPress 7.0.2 dan WordPress 7.0.3.
Ini justru menunjukkan proses triase keamanan WordPress yang cukup matang: begitu satu kerentanan kritikal ditemukan dan dikonfirmasi, tim tidak menunggu terkumpul beberapa kerentanan lain untuk dibundel jadi satu rilis, melainkan langsung merilis patch begitu perbaikannya siap diuji.
Implikasi praktisnya buat Anda: jangan berasumsi “saya sudah update bulan ini jadi aman untuk beberapa bulan ke depan“. Berdasarkan pola terkini, jarak antar security release WordPress bisa serapat kurang dari dua minggu. Kebiasaan cek dashboard update perlu disesuaikan dengan realita ini, bukan mengikuti asumsi lama bahwa update besar cuma perlu diperhatikan beberapa kali setahun.
WordPress 7.0.4 Rilis
Kesimpulan: WordPress 7.0.4 Rilis.
Kalau minggu lalu kita membahas 12 kerentanan sekaligus di WordPress 7.0.3, maka dalam rilis WordPress 7.0.4 ini jadi pengingat bahwa jumlah kerentanan yang ditambal bukan satu-satunya ukuran seberapa serius sebuah update keamanan.
Satu kerentanan RCE yang butuh syarat akses tertentu bisa jauh lebih berbahaya dalam konsekuensi akhirnya dibanding belasan kerentanan XSS yang levelnya lebih terbatas. Ini yang perlu jadi catatan penting: jangan menilai urgensi update cuma dari angka di judul rilisnya, tapi dari jenis dan dampak potensial kerentanan yang ditambal di dalamnya.
Yang juga perlu digarisbawahi dari rilis beruntun ini: 7.0.2, 7.0.3, lalu 7.0.4, dalam rentang kurang dari sebulan adalah pentingnya membangun sistem monitoring update yang berkelanjutan, bukan pendekatan “update sekali lalu selesai“.
Kalau Anda mengelola website WordPress untuk bisnis sendiri atau klien, kebiasaan mengecek dashboard update setidaknya mingguan (bukan bulanan) jadi jauh lebih relevan mengingat pola rilis keamanan yang terjadi belakangan ini. Ini bukan indikasi WordPress sebagai platform yang buruk, justru sebaliknya, ini tanda ekosistem yang aktif diaudit dan cepat merespons begitu celah ditemukan.
Tapi kecepatan respons dari sisi WordPress core team itu cuma setengah dari persamaan, setengah lainnya ada di tangan Anda sebagai pemilik website, seberapa cepat Anda menerapkan patch yang sudah disediakan.
Kalau Anda belum yakin apakah website Anda memakai kombinasi Imagick dan Ghostscript yang jadi fokus kerentanan kali ini, langkah paling aman tetap sama: update ke WordPress 7.0.4 sekarang, cek Site Health untuk memastikan library pemrosesan gambar yang aktif, dan audit ulang siapa saja yang punya akses level Author ke atas di website Anda.
Keamanan website bukan proyek sekali jalan yang bisa dicentang selesai, ini proses berkelanjutan yang, seperti yang kita lihat dari rentetan rilis bulan ini, butuh perhatian jauh lebih rutin dari yang mungkin selama ini Anda kira cukup.
Dua artikel keamanan WordPress dalam kurang dari dua minggu mungkin terasa berlebihan buat sebagian pembaca, tapi itu justru inti pesan yang ingin kami sampaikan: keamanan bukan topik yang bisa dibahas sekali lalu dianggap selesai.
Selama WordPress terus jadi platform yang menggerakkan porsi sangat besar dari website di seluruh dunia dan selama itu pula ia akan terus jadi target favorit peneliti keamanan maupun pihak yang berniat jahat, ritme rilis keamanan seperti ini kemungkinan besar akan terus berlanjut, bukan cuma fenomena sesaat bulan ini saja.
Membangun kebiasaan yang sesuai dengan ritme itu, bukan berharap ritme itu melambat, adalah pendekatan yang jauh lebih realistis untuk menjaga website Anda tetap aman dalam jangka panjang.
