Krisis Keamanan WordPress: Vulnerabilitas wp2shell Mengancam Jutaan Situs

Vulnerabilitas kritis yang dikenal sebagai wp2shell telah mengguncang ekosistem WordPress, menimbulkan ancaman serius bagi jutaan situs web. Dua celah keamanan yang dapat dimanfaatkan tanpa otorisasi telah diumumkan, memaksa pengelola situs untuk segera memperbarui sistem mereka.

Detail Vulnerabilitas wp2shell

Vulnerabilitas ini terdiri dari dua celah yang dapat dikombinasikan untuk menciptakan eksekusi kode jarak jauh (RCE) tanpa perlu otorisasi. Celah pertama, CVE-2026-63030, terkait dengan kesalahan konfigurasi dalam REST API batch-route, sementara celah kedua, CVE-2026-60137, adalah celah injeksi SQL dalam parameter 'author__not_in' dari 'WP_Query'. Kombinasi ini memungkinkan serangan dari pengguna anonim terhadap instalasi WordPress yang tidak terlindungi.

Dampak dan Respons WordPress

Menurut laporan, lebih dari 500 juta situs menggunakan WordPress, membuat celah ini memiliki potensi dampak yang sangat besar. Tim keamanan WordPress telah mengaktifkan pembaruan otomatis paksa untuk versi yang terpengaruh, meminta pengguna untuk segera memperbarui ke versi 7.0.2 atau 6.9.5. Pembaruan ini menutupi celah yang telah diumumkan dan memperkuat perlindungan terhadap serangan.

Rekomendasi untuk Pengelola Situs

Bagi organisasi yang belum dapat memperbarui sistem, Searchlight Cyber menyarankan menginstal plugin yang memblokir akses anonim ke REST API. Selain itu, pengguna disarankan untuk memeriksa versi WordPress yang mereka jalankan dan memastikan pembaruan telah diterapkan. Situs yang tidak terlindungi tetap rentan terhadap serangan yang memanfaatkan celah ini.

Penemuan dan Penelitian oleh Adam Kues

Vulnerabilitas wp2shell ditemukan oleh Adam Kues dari Searchlight Cyber, yang mengungkap celah keamanan yang memungkinkan eksekusi kode jarak jauh tanpa otorisasi. Penelitian ini dilakukan melalui program HackerOne, di mana Kues melaporkan bug terkait batch-route dalam REST API. Selain itu, celah injeksi SQL dalam parameter 'author__not_in' juga diidentifikasi. Searchlight Cyber sengaja menahan detail teknis untuk memberi waktu pembaruan, sambil menyediakan alat pemeriksaan di wp2shell.com. Penemuan ini menyoroti pentingnya kolaborasi antara peneliti keamanan dan pengembang platform.

Mekanisme Eksploitasi dan Kombinasi Celah Keamanan

Eksploitasi wp2shell memanfaatkan dua celah terpisah yang dikombinasikan menjadi rantai eksekusi kode jarak jauh (RCE). Celah pertama, CVE-2026-63030, terkait kesalahan konfigurasi REST API batch-route, sementara celah kedua, CVE-2026-60137, adalah injeksi SQL dalam parameter 'author__not_in'. Kombinasi ini memungkinkan serangan dari pengguna anonim tanpa prasyarat. Pembaruan versi 6.9.5 dan 7.0.2 telah dirilis untuk menutupi celah ini, tetapi pengguna yang belum memperbarui tetap rentan terhadap serangan yang memanfaatkan mekanisme ini.

Pengguna WordPress diminta untuk tetap waspada dan segera mengambil tindakan sesuai rekomendasi keamanan. Dengan penyebaran exploit publik, keamanan situs menjadi prioritas utama bagi semua pengelola.

---

Sumber

• Sumber 1
• Sumber 2

Konten pada halaman ini dibuat dengan bantuan AI. Meskipun kami berupaya menjaga keakuratan informasi, kesalahan atau informasi yang belum diperbarui masih dapat terjadi.