Kerentanan remote code execution (RCE) pre-authentication baru di WordPress Core, dinamakan “wp2shell,” tidak memerlukan autentikasi dan mempengaruhi instalasi WordPress stock tanpa plugin yang terinstal. Mengingat WordPress mendukung perkiraan 500 juta website secara global, kerentanan ini merupakan salah satu pengungkapan keamanan CMS paling signifikan dalam beberapa tahun terakhir.
APA YANG TERJADI?
Masalah ini berasal dari kombinasi REST API batch-route confusion dan SQL injection yang bersama-sama memungkinkan RCE penuh. Peneliti Adam Kues dari Assetnote mengidentifikasi dan melaporkan kerentanan ini, yang sekarang diberi nama CVE-2026-63030 (GHSA-ff9f-jf42-662q). Masalah SQL injection terkait kedua yang dilaporkan oleh TF1T, dtro, dan haongo diberi nama CVE-2026-60137 (GHSA-fpp7-x2x2-2mjf). Karena eksploitasi tidak memerlukan pra-kondisi dan tidak memerlukan kredensial yang valid, setiap attacker anonim dapat mengkompromikan situs yang rentan secara langsung.
DETAIL TEKNIS
Versi yang terpengaruh meliputi WordPress 6.9.0 hingga 6.9.4 (terpengaruh oleh kedua kerentanan), WordPress 7.0.0 hingga 7.0.1 (terpengaruh oleh kedua kerentanan), dan WordPress 7.1 beta releases (diperbaiki di 7.1 beta2). WordPress 6.8.5 dan di bawahnya tidak terpengaruh oleh RCE chain tetapi versi 6.8.x terpengaruh oleh CVE-2026-60137. Tim keamanan WordPress merespons dengan versi 7.0.2 yang mengatasi satu issue critical dan satu issue high-severity, dengan backport releases 6.9.5 dan 6.8.6. WordPress telah mengaktifkan forced auto-update untuk situs yang menjalankan versi yang rentan. Searchlight Cyber merilis public scanner di wp2shell[.]com sehingga administrator dapat memeriksa exposure tanpa memerlukan keahlian teknis mendalam.
DAMPAK TERHADAP INDONESIA
WordPress adalah CMS paling populer di Indonesia, digunakan oleh ribuan website pemerintah, UMKM, media online, dan institusi pendidikan. Dengan jutaan instalasi WordPress di seluruh Indonesia, wp2shell berpotensi menjadi salah satu kerentanan paling berdampak luas di tanah air. Banyak administrator WordPress Indonesia yang masih menjalankan versi lama tanpa patch keamanan, terutama di sektor UMKM dan pemerintah daerah. PDP Law mengharuskan organisasi yang memproses data pribadi untuk mengambil langkah teknis yang memadai — termasuk patch management — untuk melindungi data. Kegagalan memperbarui WordPress ke versi terbaru dapat menempatkan organisasi pada risiko pelanggaran regulasi yang serius.
REKOMENDASI MITIGASI
Update WordPress ke versi 7.0.2, 6.9.5, atau 6.8.6 sesegera mungkin. Verifikasi status patch menggunakan tool wp2shell[.]com. Jika patching langsung tidak memungkinkan, pasang plugin yang memblokir akses anonim ke REST API. Blokir /wp-json/batch/v1 dan ?rest_route=/batch/v1 di level WAF. Monitor log untuk request REST API batch yang mencurigakan.
Analisa Retasan
wp2shell adalah kombinasi mematikan dari dua kerentanan yang masing-masing sudah serius sendiri — SQL injection dan REST API route confusion. Yang membuat kerentanan ini sangat kritis adalah prerequisitenya yang hampir nol: tidak perlu autentikasi, tidak perlu plugin, dan berfungsi pada instalasi WordPress stock. Ini mengubah WordPress dari CMS yang relatif aman menjadi target yang langsung dapat dieksploitasi oleh siapa saja dengan akses internet. Route confusion pada REST API batch endpoint menunjukkan kompleksitas yang melekat dalam menjaga backward compatibility dengan fitur baru — batch API diperkenalkan untuk meningkatkan performa, namun implementasinya menciptakan celah keamanan yang fundamental.
Dari perspektif exploit development, chain vulnerability ini sangat elegan. SQL injection memberikan primitive untuk memanipulasi database, sementara batch route confusion memungkinkan attacker mengarahkan request ke endpoint yang seharusnya tidak tersedia tanpa autentikasi. Kombinasi ini memungkinkan eskalasi dari injection database penuh menjadi eksekusi kode di server. Ini mengingatkan pada serangkaian kerentanan WordPress sebelumnya yang juga memanfaatkan kompleksitas REST API, namun wp2shell melangkah lebih jauh dengan menghilangkan kebutuhan akan kredensial apa pun. Bagi komunitas vulnerability research, ini menjadi studi kasus penting tentang bagaimana fitur keamanan yang saling bergantung dapat menciptakan celah baru saat tidak dikaji secara holistik.
Dampak wp2shell terhadap ekosistem digital Indonesia tidak bisa diremehkan. Dengan estimasi ratusan ribu website WordPress aktif di Indonesia — mulai dari portal berita lokal hingga sistem informasi pemerintah daerah — potensi eksploitasi massal sangat nyata. Komunitas WordPress Indonesia, termasuk WordCamp Indonesia dan komunitas developer lokal, perlu secara aktif menyebarkan informasi tentang kerentanan ini dan membantu organisasi yang mungkin tidak memiliki SDM keamanan siber yang memadai. Plugin forced auto-update yang diaktifkan oleh WordPress merupakan langkah baik, namun banyak hosting provider Indonesia yang masih membatasi auto-update untuk menjaga stabilitas server — ironisnya, keputusan ini justru meningkatkan risiko kompromi massal. BSSN dan Kominfo perlu mengkoordinasikan respons nasional untuk memastikan website-website kritis Indonesia terlindungi dari exploitasi wp2shell.
Sumber: https://gbhackers.com/critical-wordpress-core-flaw/
