Eksploitasi WordPress wp2shell Meningkat Drastis, Serangan Massal Meluas

Eksploitasi dua kerentanan kritis pada WordPress yang dikenal dengan wp2shell kini semakin meluas. Kombinasi celah keamanan ini memungkinkan pelaku kejahatan siber melakukan remote code execution (RCE) tanpa otentikasi dan menguasai situs WordPress yang rentan secara penuh.

Kerentanan Kritis WordPress: CVE-2026-63030 dan CVE-2026-60137

Dua kerentanan yang diberi kode CVE-2026-63030 dan CVE-2026-60137 ini ditemukan saling terkait dan disatukan dalam eksploitasi wp2shell. Jake Knott, peneliti keamanan utama di watchTowr, menyampaikan kepada The Hacker News bahwa eksploitasi telah berlangsung sejak Sabtu dini hari (UTC), awalnya menggunakan kode eksploitasi publik untuk mencuri kredensial yang sudah di-hash, kemudian berkembang ke eksekusi kode jarak jauh setelah informasi teknis lebih lanjut dirilis secara terbuka.

"Dari pantauan kami di berbagai klien global, dampak kerentanan ini sangat luas dan menyasar organisasi dari berbagai ukuran dan sektor," ujar Jake Knott.

Data Telemetri dan Penyebaran Serangan

Menurut data telemetri yang dikumpulkan oleh KEVIntel, terdapat 13 alamat IP unik dari berbagai negara seperti Swiss, Jerman, Inggris, Indonesia, Lithuania, Belanda, dan Singapura yang telah terhubung dengan eksploitasi CVE-2026-63030. Eksploitasi ini ditemukan oleh Searchlight Cyber dengan bantuan OpenAI GPT 5.6 Sol dalam waktu lebih dari 10 jam.

Searchlight Cyber menegaskan, "Serangan ini tidak memerlukan prasyarat apapun dan dapat dilakukan oleh pengguna anonim pada instalasi WordPress standar tanpa plugin tambahan." Hal ini berarti seluruh situs WordPress yang dirilis setelah Desember 2025 berpotensi terinfeksi.

Detail Teknis dan Mekanisme Eksploitasi

Cloudflare menjelaskan, CVE-2026-63030 memungkinkan remote code execution tanpa otentikasi hanya jika fitur persistent object cache tidak digunakan. Sedangkan celah SQL injection CVE-2026-60137 muncul mulai versi 6.8 dan RCE mulai versi 6.9.

"Eksploitasi ini memanfaatkan rantai dua kerentanan untuk melakukan SQL injection tanpa otentikasi pada instalasi WordPress standar hanya dengan satu permintaan HTTP," jelas Ben Marr, insinyur keamanan di Intruder.

Ben Marr menambahkan, "CVE-2026-60137 merupakan titik masuk yang memanfaatkan bug kebingungan rute pada endpoint REST API batch yang melewati otentikasi, memungkinkan penyerang memanggil handler internal tanpa pemeriksaan izin." Kerentanan ini terkait dengan sanitasi parameter author__not_in yang tidak tepat di WP_Query ketika data tidak terpercaya diteruskan oleh plugin atau tema, sehingga memungkinkan manipulasi kueri database.

Dampak dan Aktivitas Pasca Eksploitasi

Menurut data dari Wiz, anak perusahaan keamanan cloud milik Google, sekitar 60% organisasi yang menggunakan WordPress awalnya memiliki setidaknya satu instance rentan saat CVE ini dipublikasikan, dengan 25% di antaranya secara langsung terekspos ke internet. Angka ini menurun seiring organisasi menerapkan patch keamanan.

Aktivitas pasca eksploitasi yang diamati meliputi:

• Pengunggahan plugin berbahaya
• Enumerasi pengguna dan pengumpulan username serta email admin
• Serangan local file inclusion (LFI) untuk mencuri kredensial database dan kunci otentikasi
• Akses ke panel admin dan otentikasi dengan sukses
• Pengunggahan web shell PHP sederhana untuk eksekusi kode jarak jauh

"Kami juga melihat aktivitas pemindaian volume tinggi tanpa eksploitasi lebih lanjut, yang menunjukkan kampanye pemindaian massal oportunistik mencari target rentan," kata peneliti Wiz Shahar Dorfman dan Gili Tikochinski.

Salah satu web shell yang ditemukan berukuran 150 KB dan menyamar sebagai plugin keamanan WordPress bernama CMSmap. Ini merupakan platform serangan lengkap yang mendukung manajemen file, akses database, pemindaian port, injeksi kode batch, serta berbagai modul eskalasi hak istimewa, termasuk eksploitasi MySQL UDF.

Serangan Massal dan Rekomendasi Keamanan

WatchTowr melaporkan bahwa setelah rilis kode eksploitasi publik, para penyerang melakukan penyebaran serangan secara masif, dengan honeypot mereka mencatat puluhan ribu upaya eksploitasi. Lebih dari 100 akun administrator backdoor telah dibuat, memungkinkan penyerang memasang plugin palsu untuk mendapatkan eksekusi kode atau mengunduh alat sekunder untuk memperdalam kompromi sistem.

Salah satu aktor ancaman bahkan berulang kali mencoba memasang Overlord RAT, trojan akses jarak jauh berbasis Golang.

Para pengelola situs WordPress sangat disarankan untuk segera memeriksa instansi mereka, termasuk penciptaan akun admin baru yang mencurigakan, plugin berbahaya, dan file asing lainnya, bahkan jika patch sudah diterapkan, guna memastikan ancaman benar-benar teratasi.

Analisis Redaksi

Menurut pandangan redaksi, eskalasi eksploitasi wp2shell menandakan perubahan signifikan dalam lanskap keamanan WordPress. Kerentanan yang mampu dieksploitasi tanpa otentikasi dan tanpa plugin tambahan memperlihatkan risiko besar bagi jutaan situs yang menggunakan platform ini secara default. Hal ini bukan hanya ancaman teknis, tapi juga mengancam reputasi dan kepercayaan pengguna terhadap ekosistem WordPress secara keseluruhan.

Lebih jauh, aktivitas pemindaian masif tanpa eksploitasi langsung mengindikasikan adanya bot dan aktor oportunistik yang terus mencari target rentan, sehingga pengelola situs harus lebih proaktif dalam pemantauan dan pembaruan keamanan. Ancaman muncul dari berbagai negara dan bertaraf global, menuntut kolaborasi internasional dalam mitigasi risiko.

Ke depan, kita harus mengamati respons pengembang WordPress terhadap perbaikan patch dan bagaimana komunitas keamanan memperkuat sistem deteksi dini serta perlindungan otomatis. Pengguna WordPress juga harus lebih sadar bahwa keamanan tidak berhenti pada update patch, melainkan harus menyeluruh meliputi pengelolaan akun, plugin, dan monitoring aktivitas mencurigakan.

Untuk informasi lebih lanjut dan update terkini seputar keamanan siber, kunjungi sumber asli artikel ini di The Hacker News dan berita terpercaya lainnya.