Pemilik situs WordPress yang masih memakai versi 6.9.0 hingga 6.9.4 atau 7.0.0 hingga 7.0.1 perlu segera memeriksa pembaruan. Dua celah bernama WP2Shell dapat membuka akses bagi penyerang anonim untuk mengambil alih situs tanpa perlu masuk menggunakan akun.
WordPress telah menyediakan perbaikan melalui versi 6.9.5 dan 7.0.2. Pembaruan otomatis juga diaktifkan untuk situs pada versi terdampak karena tingkat risiko dua kerentanan ini dinilai sangat tinggi.
Ancaman tersebut menjadi lebih mendesak karena aktivitas eksploitasi sudah terdeteksi setelah informasi kerentanan terungkap. Patchstack melaporkan adanya upaya serangan, sedangkan Hexastrike menemukan aktivitas serupa melalui sistem honeypot miliknya sepanjang akhir pekan.
WatchTowr juga mendeteksi aktivitas yang berkaitan dengan eksploitasi ini. CEO WatchTowr, Benjamin Harris, menilai dampaknya dapat meluas mengingat WordPress digunakan oleh ratusan juta situs web di dunia.
Dua Celah dengan Dampak Berantai
WP2Shell merujuk pada dua kerentanan dengan fungsi berbeda yang dapat menghasilkan dampak lebih besar bila digunakan bersama-sama. Satu celah memungkinkan manipulasi kueri basis data, sementara celah lainnya membuka kemungkinan eksekusi kode dari jarak jauh di server.
| Kerentanan | Jenis | Tingkat Keparahan |
|---|---|---|
| CVE-2026-60137 | SQL Injection | Tinggi |
| CVE-2026-63030 | Remote Code Execution (RCE) | Kritis |
Menurut Searchlight Cyber, CVE-2026-60137 adalah celah SQL Injection dengan tingkat keparahan tinggi. Adapun CVE-2026-63030 merupakan kerentanan Remote Code Execution atau RCE yang dikategorikan kritis.
Kombinasi keduanya berpotensi memungkinkan pelaku menjalankan kode berbahaya di server tanpa autentikasi lebih dahulu. Akses semacam itu dapat berujung pada pengambilalihan penuh terhadap situs yang menjadi sasaran.
Searchlight Cyber menyatakan serangan tersebut tidak membutuhkan prasyarat khusus. “Serangan ini tidak memiliki prasyarat dan dapat dieksploitasi oleh pengguna anonim pada instalasi WordPress standar tanpa plugin,” kata perusahaan keamanan siber itu.
Pembaruan Tidak Boleh Ditunda
Fitur pembaruan otomatis dapat membantu sebagian situs menerima versi aman tanpa tindakan manual. Namun, Harris mengingatkan bahwa masih banyak situs yang tidak memperoleh pembaruan otomatis dari penyedia hosting sehingga dapat tetap menggunakan versi rentan.
Pemilik situs perlu mengecek versi WordPress yang berjalan serta memastikan pembaruan otomatis berfungsi dengan baik. Pemeriksaan juga penting dilakukan pada layanan hosting, terutama bila proses pembaruan dikelola dari sisi penyedia layanan.
Rincian teknis lengkap mengenai dua celah itu tidak dipublikasikan oleh Searchlight Cyber untuk membatasi potensi penyalahgunaan. Meski demikian, contoh eksploitasi atau proof-of-concept dilaporkan telah beredar dari pihak lain.
Harris menyoroti bahwa jarak antara pengungkapan kerentanan dan munculnya serangan kini makin pendek. Ia mengatakan contoh eksploitasi yang sebelumnya biasanya muncul setidaknya 24 jam setelah pengumuman, kini dapat beredar dalam hitungan jam dengan bantuan AI.
Cloudflare telah menambahkan aturan keamanan baru untuk membantu mendeteksi percobaan eksploitasi pada situs pelanggan yang belum diperbarui. Lapisan ini dapat membantu mengurangi risiko, tetapi tidak menggantikan pemasangan WordPress 6.9.5 atau 7.0.2 pada instalasi terdampak.
