Pengelola WordPress perlu segera memastikan situsnya telah menerima pembaruan keamanan terbaru. Dua kerentanan kritis bernama WP2Shell dilaporkan sudah dieksploitasi dan dapat membuka jalan pengambilalihan situs tanpa penyerang masuk menggunakan akun.
WordPress merespons ancaman tersebut dengan merilis versi 6.9.5 dan 7.0.2. Pembaruan otomatis juga diaktifkan untuk situs yang masih berada pada versi terdampak karena risiko serangannya dinilai tinggi.
Versi yang Perlu Segera Diperiksa
Kerentanan ini memengaruhi instalasi WordPress versi 6.9.0 sampai 6.9.4, serta versi 7.0.0 sampai 7.0.1. Situs yang menggunakan salah satu rentang tersebut disarankan memeriksa apakah proses pembaruan telah berhasil diterapkan.
| Versi Terdampak | Versi Aman |
|---|---|
| 6.9.0 hingga 6.9.4 | 6.9.5 |
| 7.0.0 hingga 7.0.1 | 7.0.2 |
Ancaman ini tidak bergantung pada penggunaan plugin tambahan karena dapat menyasar instalasi WordPress standar. Searchlight Cyber menyatakan eksploitasi tidak memiliki prasyarat dan dapat dilakukan oleh pengguna anonim.
Dua Celah dalam Satu Rangkaian Serangan
WP2Shell mencakup dua kerentanan dengan dampak berbeda, yakni CVE-2026-60137 dan CVE-2026-63030. Kerentanan pertama berkaitan dengan SQL Injection, sedangkan yang kedua merupakan Remote Code Execution atau RCE.
| Identitas Kerentanan | Jenis Ancaman | Keparahan |
|---|---|---|
| CVE-2026-60137 | SQL Injection | Tinggi |
| CVE-2026-63030 | Remote Code Execution | Kritis |
SQL Injection dapat berkaitan dengan pengolahan data dalam sistem, sementara RCE memungkinkan kode dijalankan dari jarak jauh. Risiko paling besar muncul apabila dua celah itu dirangkai, karena penyerang berpotensi menjalankan kode berbahaya di server dan menguasai situs target.
Searchlight Cyber tidak mempublikasikan rincian teknis kerentanan tersebut untuk mengurangi peluang penyalahgunaan. Namun, pihak lain dilaporkan telah lebih dahulu merilis proof-of-concept yang dapat digunakan sebagai contoh eksploitasi.
Upaya Serangan Sudah Terdeteksi
Patchstack, perusahaan keamanan yang berfokus pada WordPress, menyatakan telah mendeteksi upaya eksploitasi terhadap celah ini. Temuan tersebut menunjukkan ancaman telah bergerak dari risiko teoretis menjadi serangan yang terjadi di lapangan.
Hexastrike juga menemukan aktivitas serupa melalui sistem honeypot miliknya dan dilaporkan membantu menangani sejumlah insiden terkait. WatchTowr turut mendeteksi percobaan eksploitasi, dengan CEO Benjamin Harris mengingatkan besarnya dampak karena WordPress digunakan oleh ratusan juta situs.
Harris menyoroti jarak yang makin pendek antara pengungkapan celah dan munculnya serangan. “Dulu eksploitasi biasanya muncul setidaknya 24 jam setelah kerentanan diumumkan. Kini, berkat bantuan AI, contoh eksploitasi bisa muncul hanya dalam hitungan jam,” ujarnya.
Mitigasi Tambahan Tidak Menggantikan Pembaruan
Cloudflare telah menambahkan aturan keamanan untuk mendeteksi percobaan eksploitasi pada situs pelanggan yang belum diperbarui. Langkah ini dapat menjadi lapisan mitigasi tambahan, tetapi tidak menggantikan kebutuhan memasang pembaruan WordPress.
Pengelola situs perlu memeriksa versi instalasi dan memastikan pembaruan keamanan sudah aktif. Tindakan tersebut menjadi langkah utama untuk mengurangi risiko serangan yang dapat berujung pada pengambilalihan website.
