Dua kerentanan keamanan bernama WP2Shell dilaporkan dapat membuka jalan bagi penyerang untuk mengambil alih situs WordPress tanpa perlu masuk menggunakan akun. Risiko ini dinilai serius karena eksploitasi dapat menyasar instalasi WordPress standar tanpa ketergantungan pada plugin tertentu.
Kerentanan tersebut sudah terpantau dalam upaya eksploitasi tidak lama setelah informasi celahnya terungkap. Kondisi ini membuat pemilik situs perlu memastikan sistem mereka sudah menerima pembaruan keamanan yang tersedia.
WordPress telah merilis pembaruan melalui versi 6.9.5 dan 7.0.2 untuk menangani masalah tersebut. Tim WordPress juga mengaktifkan pembaruan otomatis bagi situs yang menjalankan versi terdampak karena tingkat risikonya dinilai sangat tinggi.
Dua celah ini memiliki fungsi berbeda, tetapi dapat memberi dampak yang lebih besar apabila dipakai bersama-sama. Salah satunya memungkinkan manipulasi kueri basis data, sedangkan celah lain memungkinkan eksekusi kode dari jarak jauh di server.
Rincian Dua Kerentanan WP2Shell
| Kerentanan | Jenis | Tingkat Keparahan |
|---|---|---|
| CVE-2026-60137 | SQL Injection | Tinggi |
| CVE-2026-63030 | Remote Code Execution (RCE) | Kritis |
Menurut peneliti Searchlight Cyber, CVE-2026-60137 merupakan celah SQL Injection dengan tingkat keparahan tinggi. Sementara itu, CVE-2026-63030 dikategorikan sebagai kerentanan Remote Code Execution atau RCE yang bersifat kritis.
Jika dua kerentanan tersebut digabungkan, penyerang berpotensi menjalankan kode berbahaya di server tanpa harus melakukan autentikasi lebih dahulu. Akses semacam itu dapat berujung pada pengambilalihan penuh atas situs WordPress yang menjadi target.
Searchlight Cyber menyatakan serangan ini tidak memiliki prasyarat khusus untuk dijalankan. “Serangan ini tidak memiliki prasyarat dan dapat dieksploitasi oleh pengguna anonim pada instalasi WordPress standar tanpa plugin,” kata perusahaan keamanan siber tersebut.
Versi WordPress yang disebut terdampak mencakup 6.9.0 hingga 6.9.4 serta 7.0.0 hingga 7.0.1. Pemilik situs yang masih menggunakan rentang versi itu perlu memeriksa status pembaruan pada instalasi dan layanan hosting mereka.
Eksploitasi Sudah Terdeteksi
Rincian teknis lengkap dari celah tersebut tidak dipublikasikan oleh Searchlight Cyber untuk mengurangi potensi penyalahgunaan. Namun, contoh eksploitasi atau proof-of-concept dilaporkan sudah lebih dahulu beredar dari pihak lain.
Patchstack melaporkan telah melihat upaya eksploitasi yang menargetkan kerentanan tersebut. Hexastrike juga mendeteksi serangan melalui sistem honeypot miliknya sepanjang akhir pekan serta membantu menangani beberapa insiden yang terkait eksploitasi itu.
Aktivitas serupa turut ditemukan oleh WatchTowr, sebagaimana dihimpun tekno.kompas.com dari Security Week. CEO WatchTowr Benjamin Harris menilai dampak celah ini dapat meluas karena WordPress digunakan oleh ratusan juta situs web di dunia.
Menurut Harris, sebagian situs memang dapat menerima pembaruan otomatis dari penyedia hosting. Namun, masih ada banyak situs yang tidak memperoleh pembaruan otomatis sehingga berisiko tetap berada pada versi rentan.
Waktu Respons Makin Singkat
Harris juga menyoroti jarak waktu antara pengungkapan kerentanan dan munculnya serangan yang kini semakin pendek. Ia mengatakan contoh eksploitasi yang dahulu biasanya muncul setidaknya 24 jam setelah pengumuman kini dapat beredar dalam hitungan jam dengan bantuan AI.
“Dulu eksploitasi biasanya muncul setidaknya 24 jam setelah kerentanan diumumkan. Kini, berkat bantuan AI, contoh eksploitasi bisa muncul hanya dalam hitungan jam,” ujar Harris.
Selain pembaruan dari WordPress, Cloudflare telah menambahkan aturan keamanan baru untuk membantu mendeteksi upaya eksploitasi pada situs pelanggan yang belum sempat diperbarui. Langkah ini dapat menjadi lapisan tambahan, tetapi tidak menggantikan kebutuhan untuk memasang versi WordPress yang telah ditambal.
Pembaruan ke WordPress 6.9.5 atau 7.0.2 menjadi langkah penting bagi situs yang menggunakan versi terdampak. Pemilik situs juga perlu memastikan proses pembaruan otomatis benar-benar berjalan agar perlindungan tidak tertunda.