Waspada! Bug Kritis di WordPress Bisa Bikin Website Dibajak Hacker - Kompas
KOMPAS.com – Dua celah keamanan berbahaya pada sistem manajemen WordPress tengah dieksploitasi oleh peretas, tak lama setelah kerentanan tersebut diungkap oleh peneliti keamanan siber. Kedua celah ini diberi nama WP2Shell dan terdaftar dengan kode CVE-2026-60137 serta CVE-2026-63030.
Kerentanan ini pertama kali ditemukan oleh peneliti dari perusahaan keamanan siber Searchlight Cyber. Celah tersebut memengaruhi WordPress versi 6.9.0 hingga 6.9.4, serta versi 7.0.0 hingga 7.0.1.
Yang membuat celah ini sangat mengkhawatirkan adalah kemudahannya untuk dieksploitasi. Tidak diperlukan plugin khusus maupun akun pengguna untuk melancarkan serangan.
"Serangan ini tidak memiliki prasyarat dan dapat dieksploitasi oleh pengguna anonim pada instalasi WordPress standar tanpa plugin," ungkap Searchlight Cyber.
Bupati Gowa Walkout Saat Sidang Pansus, DPRD: Sikap Buruk
Baca juga: Sebar Malware lewat Game di Steam, Pemuda Ini Diringkus FBI
Baca Juga :
Dua celah berbeda, bahaya berlipat jika digabungkan
Kedua kerentanan ini memiliki fungsi yang berbeda, namun kombinasi keduanya bisa memberikan akses penuh kepada penyerang.
CVE-2026-60137 merupakan celah SQL Injection berkategori tingkat keparahan tinggi, sementara CVE-2026-63030 adalah celah Remote Code Execution (RCE) yang dikategorikan kritis.
Jika dipadukan, peretas dapat menjalankan kode berbahaya di server tanpa perlu login, dan berujung pada pengambilalihan penuh atas situs WordPress yang menjadi target.
Meski Searchlight Cyber memilih tidak mempublikasikan rincian teknis untuk mencegah penyalahgunaan, pihak lain sudah lebih dulu merilis bukti konsep atau proof-of-concept (PoC) eksploitasinya.
Sudah ada korban
Perusahaan keamanan WordPress Patchstack melaporkan telah mendeteksi upaya eksploitasi terhadap celah ini.
Hal serupa juga dikonfirmasi oleh perusahaan keamanan Hexastrike, yang menemukan aktivitas serangan melalui sistem honeypot miliknya dan bahkan telah membantu menangani sejumlah insiden akibat eksploitasi celah tersebut.
Perusahaan keamanan WatchTowr turut menemukan aktivitas eksploitasi serupa. CEO WatchTowr, Benjamin Harris, memperingatkan bahwa potensi dampaknya sangat luas mengingat WordPress digunakan oleh ratusan juta situs web di seluruh dunia.
Harris juga menyoroti semakin pendeknya jeda waktu antara pengungkapan celah keamanan dengan munculnya serangan di lapangan.
"Dulu eksploitasi biasanya muncul setidaknya 24 jam setelah kerentanan diumumkan. Kini, berkat bantuan AI, contoh eksploitasi bisa muncul hanya dalam hitungan jam," ujar Harris.
WordPress rilis pembaruan darurat
Merespons situasi ini, WordPress telah merilis pembaruan keamanan melalui versi 6.9.5 dan 7.0.2. Mengingat tingginya tingkat risiko, tim WordPress juga mengaktifkan pembaruan otomatis bagi situs yang masih menjalankan versi terdampak.
Cloudflare turut mengambil langkah mitigasi dengan menambahkan aturan keamanan baru untuk mendeteksi upaya eksploitasi pada situs pelanggan yang belum sempat diperbarui, sebagaimana dihimpun KompasTekno dari Security Week.
Pengguna WordPress diimbau segera memastikan situs mereka telah diperbarui ke versi terbaru agar terhindar dari risiko pengambilalihan oleh peretas.
Baca juga: Indonesia Disebut Jadi Sumber Spam dan Malware Terbesar pada 2025
Dapatkan update berita teknologi dan gadget pilihan setiap hari. Mari bergabung di Kanal WhatsApp KompasTekno.
Caranya klik link https://whatsapp.com/channel/0029VaCVYKk89ine5YSjZh1a. Anda harus install aplikasi WhatsApp terlebih dulu di ponsel.
KOMPAS.com berkomitmen memberikan fakta jernih, tepercaya, dan berimbang. Dukung keberlanjutan jurnalisme jernih dan nikmati kenyamanan baca tanpa iklan melalui Membership. Gabung KOMPAS.com Plus sekarang
Waspada Dilacak Google, Begini Cara Mematikannya