Dua kerentanan WP2Shell berpotensi memungkinkan penyerang mengambil alih situs WordPress tanpa perlu masuk menggunakan akun. Risiko ini menjadi sangat serius karena serangan dapat menyasar instalasi WordPress standar tanpa bergantung pada plugin tertentu.
WordPress telah menyediakan pembaruan keamanan melalui versi 6.9.5 dan 7.0.2 untuk menutup celah tersebut. Pembaruan otomatis juga diaktifkan untuk situs yang menjalankan versi terdampak karena tingkat ancamannya dinilai sangat tinggi.
Versi yang Perlu Segera Diperiksa
Pemilik situs perlu memeriksa versi WordPress yang berjalan pada dasbor administrasi maupun layanan hosting. Rentang versi 6.9.0 hingga 6.9.4 serta 7.0.0 hingga 7.0.1 disebut terdampak oleh dua celah keamanan ini.
| Kerentanan | Jenis | Tingkat Keparahan |
|---|---|---|
| CVE-2026-60137 | SQL Injection | Tinggi |
| CVE-2026-63030 | Remote Code Execution (RCE) | Kritis |
CVE-2026-60137 merupakan kerentanan SQL Injection yang memungkinkan manipulasi kueri basis data. Sementara CVE-2026-63030 adalah celah Remote Code Execution atau RCE yang dapat membuka jalan bagi eksekusi kode dari jarak jauh di server.
Setiap celah memiliki fungsi berbeda, tetapi dampaknya dapat membesar ketika keduanya dipakai bersama-sama. Kombinasi tersebut berpotensi memberi penyerang kemampuan menjalankan kode berbahaya tanpa autentikasi lebih dahulu.
Serangan Tidak Memerlukan Prasyarat Khusus
Searchlight Cyber menyatakan eksploitasi ini tidak membutuhkan prasyarat khusus untuk dijalankan. Perusahaan keamanan siber itu menyebut, “Serangan ini tidak memiliki prasyarat dan dapat dieksploitasi oleh pengguna anonim pada instalasi WordPress standar tanpa plugin.”
Kondisi tersebut membuat permukaan risiko menjadi lebih luas bagi situs yang belum menerima tambalan keamanan. Akses tanpa login dapat berujung pada pengambilalihan penuh atas situs yang menjadi target.
Rincian teknis lengkap mengenai kerentanan tidak dipublikasikan Searchlight Cyber untuk membatasi kemungkinan penyalahgunaan. Namun, contoh eksploitasi atau proof-of-concept dilaporkan telah beredar dari pihak lain.
Upaya Eksploitasi Telah Terdeteksi
Patchstack melaporkan telah melihat upaya eksploitasi yang menargetkan celah WP2Shell. Hexastrike juga mendeteksi serangan melalui sistem honeypot pada akhir pekan serta membantu menangani beberapa insiden terkait eksploitasi tersebut.
WatchTowr turut menemukan aktivitas serupa, sebagaimana dihimpun tekno.kompas.com dari Security Week. CEO WatchTowr Benjamin Harris menilai dampaknya dapat meluas mengingat WordPress digunakan oleh ratusan juta situs web di dunia.
Menurut Harris, sebagian pengelola situs mungkin menerima pembaruan otomatis dari penyedia hosting. Namun, masih banyak situs yang tidak memperoleh pembaruan otomatis dan berisiko tetap berada pada versi rentan.
Respons Harus Dilakukan Lebih Cepat
Harris menyoroti jarak antara pengungkapan kerentanan dan kemunculan serangan yang semakin singkat. Ia mengatakan, “Dulu eksploitasi biasanya muncul setidaknya 24 jam setelah kerentanan diumumkan. Kini, berkat bantuan AI, contoh eksploitasi bisa muncul hanya dalam hitungan jam.”
Cloudflare telah menambahkan aturan keamanan baru untuk membantu mendeteksi upaya eksploitasi pada situs pelanggan yang belum sempat diperbarui. Perlindungan tambahan ini tidak menggantikan kebutuhan memasang versi WordPress yang sudah ditambal.
Pembaruan ke WordPress 6.9.5 atau 7.0.2 menjadi langkah utama bagi pengelola situs yang menggunakan versi terdampak. Status pembaruan otomatis juga perlu dipastikan berjalan agar perlindungan tidak tertunda.
