Dua kerentanan kritis di core WordPress — CVE-2026-63030 dan CVE-2026-60137 — telah dieksploitasi secara aktif untuk menjalankan remote code execution (RCE) tanpa autentikasi. Serangan yang diberi nama wp2shell ini memungkinkan penyerang menginstal webshell persisten di server WordPress yang belum ditambal, memanfaatkan kebingungan rute batch REST API.
APA YANG TERJADI?
watchTowr Labs mengungkapkan bahwa kombinasi dua kerentanan di WordPress core — CVE-2026-63030 dan CVE-2026-60137 — telah dieksploitasi untuk menjalankan kode secara remote tanpa perlu autentikasi. Serangan ini awalnya ditemukan pada Sabtu dini hari (UTC) dan langsung menyebar secara massal. Para penyerang awalnya menggunakan exploit code publik untuk mengekstrak hashed credentials, kemudian melakukan RCE setelah detail teknis dipublikasikan lebih luas.
Jake Knott, principal security researcher di watchTowr, menjelaskan bahwa dari sudut pandang global mereka, dampak kerentanan ini menyebar luas di berbagai organisasi dari segala ukuran dan sektor. Telemetri dari KEVIntel mencatat 13 alamat IP unik dari negara-negara termasuk Swiss, Jerman, Inggris, Indonesia, Lituania, Belanda, dan Singapura telah melakukan scanning aktif terhadap target WordPress.
DETAIL TEKNIS
CVE-2026-63030 adalah kerentanan SQL injection di mana route batch REST API di WordPress dapat membingungkan parser autentikasi. WordPress REST API mendukung batch requests yang memungkinkan beberapa operasi dalam satu HTTP request. Namun, cara WordPress mengeksekusi batch endpoint menimbulkan race condition yang memungkinkan request pertama melewati pemeriksaan autentikasi sebelum session divergence terjadi.
CVE-2026-60137 melengkapi kerentanan pertama dengan memungkinkan penyerang menulis arbitrary PHP files ke direktori uploads. Kombinasi keduanya — yang disebut wp2shell — memungkinkan penulis webshell persisten yang bertahan meskipun WordPress diupdate. Eksploitasi dimulai dengan mengirim batch request di mana request kedua berisi payload PHP yang ditulis ke direktori uploads melalui exploit SQL injection.
Setelah webshell terpasang, penyerang memiliki kontrol penuh atas server. watchTowr melaporkan bahwa dari titik pengawasan global mereka, dampak eksploitasi ini sangat luas — terjadi di organisasi dengan berbagai skala dan vertikal industri. Kerentanan ini berlaku untuk WordPress 6.0 hingga versi sebelum patch tersedia. Para peneliti merekomendasikan update segera ke versi WordPress terbaru yang sudah menambal kedua kerentanan.
DAMPAK TERHADAP INDONESIA
Indonesia merupakan salah satu negara dengan jumlah instalasi WordPress yang sangat besar. Menurut data W3Techs, CMS WordPress digunakan oleh lebih dari 60% website di Indonesia, mulai dari portal berita lokal, situs pemerintah daerah, hingga toko online UMKM. Dengan adanya bukti scanning dari IP Indonesia yang teridentifikasi oleh KEVIntel, sudah jelas bahwa server-server di Indonesia aktif menjadi target eksploitasi wp2shell.
BSSN (Badan Siber dan Sandi Negara) telah berulang kali mengingatkan pentingnya patch management bagi instansi pemerintah dan sektor kritis. Namun realitanya, banyak website pemerintah daerah yang berjalan di WordPress versi lama tanpa mekanisme update otomatis. PDP Law (UU Pelindungan Data Pribadi) yang berlaku penuh menuntut organisasi memastikan infrastruktur digital mereka aman dari kerentanan kritis yang sudah dieksploitasi secara aktif. Organisasi yang gagal mempatch bisa menghadapi konsekuensi hukum serius jika data pengguna bocor akibat eksploitasi wp2shell yang sudah diketahui publik.
REKOMENDASI MITIGASI
Segera update WordPress ke versi terbaru yang sudah menambal CVE-2026-63030 dan CVE-2026-60137. Jika tidak bisa update segera, pertimbangkan untuk menonaktifkan REST batch endpoint secara temporer melalui web server configuration. Periksa direktori uploads untuk file PHP yang mencurigakan, terutama yang memiliki nama timestamp atau hash acak. Aktifkan file integrity monitoring untuk mendeteksi perubahan tidak sah pada file WordPress core.
Terapkan Web Application Firewall (WAF) untuk memfilter payload berbahaya yang menargetkan REST API endpoint. Audit log akses web server untuk mencari pola request batch yang tidak wajar. Untuk organisasi yang mengelola banyak situs WordPress, gunakan centralised management tool untuk memastikan semua instalasi mendapat update keamanan secara serentak.
Analisa Retasan
Kerentanan wp2shell menjadi contoh klasik bagaimana race condition di REST API framework bisa berubah menjadi vector serangan kritis yang memungkinkan RCE tanpa autentikasi. WordPress, sebagai CMS paling populer di dunia yang menguasai lebih dari 40% website global, selalu menjadi target utama karena skalabilitas serangannya — satu kerentanan di core berpotensi menjangkau jutaan website secara simultan.
Yang mengkhawatirkan dari kasus ini adalah kecepatan eksploitasi. Dari waktu disclosure hingga eksploitasi massal, hanya berselang hitungan jam. watchTowr melaporkan bahwa scanning dan eksploitasi sudah berlangsung Sabtu dini hari, sementara banyak administrator WordPress di Indonesia dan negara berkembang lainnya baru akan mengetahui kerentanan ini pada hari kerja berikutnya. Gap antara disclosure dan patching ini — yang disebut N-day window — semakin menyempit seiring AI membantu penulis exploit membalikkan patch menjadi working exploit dalam waktu yang jauh lebih singkat dari sebelumnya.
Satuan tugas Indonesia perlu mempercepat mekanisme diseminasi informasi kerentanan kritis kepada instansi pemerintah daerah yang mengelola website berbasis WordPress. Saat ini, banyak website pemerintah kabupaten/kota yang berjalan tanpa dukungan tim IT khusus, sehingga update keamanan bisa tertunda berminggu-minggu atau bahkan berbulan-bulan — celah yang terlalu lebar bagi penyerang yang sudah mengeksploitasi kerentanan ini secara aktif.
Sumber: BleepingComputer — WordPress wp2shell Exploitation Grows as Public Exploit Fuels Mass Scanning
Sumber tambahan: The Hacker News — WordPress wp2shell Exploitation Grows as Public Exploit Fuels Mass Scanning
