WordPress 7.1.3 Rilis 6 Oktober 2026: 7 Patch Keamanan — Dua Rilis Darurat dalam 2 Minggu

WordPress 7.1.3 resmi dirilis pada 6 Oktober 2026 sebagai maintenance and security release yang menutup 7 celah keamanan dan memperbaiki 4 bug. WordPress.org merekomendasikan semua pemilik website untuk segera update, karena rilis ini datang hanya dua minggu setelah WordPress 7.1.2 yang menambal celah kritis. Cara update-nya sederhana: masuk ke Dashboard > Updates, lalu klik Update Now.

Apa itu WordPress 7.1.3?

WordPress 7.1.3 adalah rilis minor yang dirilis pada 6 Oktober 2026 dan dipimpin oleh Jake Spurlock sebagai release lead. Rilis ini tidak membawa fitur baru — isinya murni 7 perbaikan keamanan dan 4 perbaikan bug, dengan 9 file inti yang direvisi dan tidak ada package yang diubah (no packages were revised).

Yang membuat rilis ini istimewa: patch keamanan yang sama juga di-backport ke cabang-cabang lama, hingga ke WordPress 4.7. Artinya, kamu tidak harus lompat ke versi major terbaru untuk mendapatkan perlindungan — cukup update ke nomor patch di cabang versimu (misalnya 6.9.10 untuk cabang 6.9 atau 7.0.7 untuk cabang 7.0). Namun perlu diingat: hanya versi WordPress paling baru yang didukung secara aktif.

Kenapa rilis ini penting? Dua rilis darurat dalam 2 minggu

Tanggalnya perlu dibaca dengan cermat:

1. 22 September 2026 — WordPress 7.1.2 dirilis dengan satu perbaikan keamanan berkategori kritis yang dalam kondisi tertentu bisa berujung remote code execution (RCE).
2. 6 Oktober 2026 — WordPress 7.1.3 dirilis dengan 7 patch keamanan.

Dua rilis darurat dalam empat belas hari adalah sinyal yang jelas: tim keamanan WordPress sedang menemukan — dan menutup — celah serius secara beruntun. Saat patch dirilis, detail teknis celah menjadi informasi publik. Artinya setiap hari penundaan update adalah hari di mana penyerang potensial sudah memegang "peta" kelemahan situsmu, sementara situsmu belum ditambal.

Jujur saja: hingga pengumuman rilis, belum ada bukti eksploitasi massal terhadap ketujuh celah ini. Tapi itu bukan alasan untuk santai — pola umum di dunia keamanan web adalah pemindaian massal dimulai dalam hitungan jam setelah patch dirilis, karena patch itu sendiri menunjukkan di mana letak bug-nya.

7 celah keamanan yang ditambal WordPress 7.1.3

Berikut ringkasan ketujuh celah berdasarkan pengumuman resmi WordPress.org:

Dua dari tujuh celah berkaitan dengan komentar — area yang setiap hari disentuh pemilik situs. Celah nomor 1 misalnya: penyerang cukup mengirim komentar (yang masuk antrean pending), dan saat admin membuka halaman Comments, skrip di dalamnya berjalan dengan hak akses admin.

Pola menarik: yang menemukan celah justru lab AI

Perhatikan kolom "dilaporkan oleh" di tabel atas. Tiga dari tujuh celah dilaporkan oleh Anthropic, dan satu lagi oleh Trail of Bits yang bekerja sama dengan OpenAI. Ini bukan kebetulan — laboratorium AI kini aktif memburu celah keamanan di software open source populer.

Pelajaran praktisnya untuk kita: penyerang pun memakai tool yang sama. Era di mana celah ditemukan manual satu per satu sudah lewat; penemuan kerentanan kini bisa diskalakan. Satu-satunya respons yang realistis dari pemilik situs adalah disiplin update — patch yang sama yang menutup celah juga memberi tahu publik di mana celahnya.

Bagaimana cara update ke WordPress 7.1.3 dengan aman?

Ikuti checklist ini berurutan:

1. Backup file dan database terlebih dahulu. Jangan pernah update core tanpa backup yang sudah diverifikasi bisa di-restore. Simpan salinannya di luar server.

2. Catat versi yang ditawarkan dashboard. Buka Dashboard > Updates dan baca nomor versi yang ditawarkan. Jika kamu di cabang lama (misalnya 6.9), tombol update akan menawarkan versi backport (misalnya 6.9.10) — itu yang benar, bukan lompatan major.

3. Uji di staging untuk situs kritis. Untuk toko online atau company profile yang menjadi sumber lead, terapkan dulu di salinan staging: cek homepage, form kontak, halaman checkout, dan layar Comments.

4. Jalankan update. Via dashboard: Dashboard > Updates → Update Now (butuh akun Administrator). Via WP-CLI di SSH:

5. Verifikasi dan smoke test. Pastikan nomor versi berubah di dashboard, cek error log PHP, lalu uji cepat: login wp-admin, buka editor posting, upload media, buka layar Comments, dan coba satu form publik.

Catatan: situs yang mengaktifkan automatic background updates untuk rilis minor kemungkinan sudah ter-patch otomatis — tapi tetap verifikasi nomor versinya secara manual.

Bagaimana jika belum bisa update hari ini?

Update adalah satu-satunya perbaikan resmi yang ditawarkan WordPress. Jika ada halangan hari ini, langkah berikut mengurangi paparan sementara — bukan pengganti update:

1. Moderator: jangan klik link di dalam komentar pending. Setujui, hapus, atau tandai spam dari tampilan daftar saja.
2. Administrator: tunda penggunaan Tools > Export sampai sudah di 7.1.3.
3. Akun: jeda pendaftaran Contributor/Author baru dan hapus akun yang tidak dipakai.
4. Embed: jangan tambah Imgur embed baru.
5. Konten private: anggap komentar di post private/draft sudah bisa dibaca publik sampai patch terpasang.

Jadwalkan update-nya secepat mungkin — mitigasi di atas kedaluwarsa begitu detail teknis celah beredar luas.

Catatan untuk pemilik source code WordPress

Jika kamu membeli atau menjual source code berbasis WordPress (tema, plugin, atau paket website jadi), ada tiga hal yang perlu dicatat:

1. Update core tidak menambal tema dan plugin. Ketujuh celah di atas semuanya ada di core WordPress. Tema/plugin punya siklus patch sendiri — cek changelog masing-masing setelah update core.
2. Cek kompatibilitas sebelum update di situs klien. Rilis ini menyentuh file inti di REST API, Customizer, oEmbed, dan query. Kode custom yang hook ke area tersebut layak diuji di staging.
3. Sekalian cek versi PHP di server. Di minggu yang sama, PHP juga merilis patch darurat untuk celah PHP2Shell (CVSS 9.2) — baca ringkasannya di artikel PHP2Shell: Celah Keamanan PHP CVSS 9.2. Dan jika servermu masih di PHP 8.2, ingat bahwa dukungannya berakhir 31 Desember 2026 — rencanakan upgrade-nya sekarang.

Setelah update, pertimbangkan menerapkan 9 langkah pengamanan lanjutan untuk website agar pertahananmu tidak berhenti di patch core.

FAQ

Kapan WordPress 7.1.3 dirilis? 6 Oktober 2026, sebagai maintenance and security release dengan 7 perbaikan keamanan dan 4 perbaikan bug.

Apakah update ke 7.1.3 wajib? Ya. WordPress.org secara eksplisit merekomendasikan update segera karena ini security release — apalagi datang dua minggu setelah rilis darurat 7.1.2.

WordPress saya versi 6.x, apakah dapat patch? Ya. Patch di-backport ke cabang lama (misalnya 6.9.10, 7.0.7, hingga cabang 4.7). Update ke nomor patch di cabang versimu. Hanya versi terbaru yang didukung aktif.

Apakah celah-celah ini sudah dieksploitasi? Hingga pengumuman rilis, tidak ada eksploitasi massal atau proof-of-concept publik yang terkonfirmasi. Namun detail celah menjadi publik setelah patch dirilis, jadi penundaan tetap berisiko.

Apakah update ini bisa merusak tema atau plugin? Rilis minor keamanan umumnya aman — hanya 9 file inti yang direvisi dan tidak ada package yang diubah. Untuk situs kritis, uji dulu di staging, terutama jika memakai kode custom yang hook ke REST API, Customizer, atau oEmbed.

Saya tidak bisa update sekarang. Apa yang harus dilakukan? Terapkan mitigasi sementara di checklist atas (jangan klik link di komentar pending, tunda export, audit akun), lalu jadwalkan update secepatnya. Mitigasi bukan pengganti patch.

Kesimpulan: WordPress 7.1.3 (6 Oktober 2026) adalah security release yang wajib dipasang — 7 patch, dua rilis darurat dalam 2 minggu, dan detail celah kini publik. Backup, update via Dashboard > Updates atau wp core update, verifikasi, lalu lanjutkan dengan pengamanan berlapis. Jangan biarkan situsmu jadi target empuk hanya karena menunda klik satu tombol.