Lanskap keamanan web global tengah menghadapi ancaman berskala masif. Sebuah rantai kerentanan kritis yang dijuluki "wp2shell" telah ditemukan bersarang langsung di dalam sistem inti (core) WordPress.

Tingkat bahaya kerentanan ini sangat absolut: ia tidak memerlukan plugin atau tema pihak ketiga untuk dieksploitasi. Instalasi WordPress dasar (default/bare install) dapat diretas sepenuhnya oleh aktor ancaman anonim melalui permintaan HTTP sederhana. Menyadari gentingnya situasi, WordPress telah mengaktifkan sistem "pembaruan paksa" (forced updates) untuk menggulirkan patch keamanan. Namun, dengan dipublikasikannya mekanisme penuh dan Kode Eksploitasi Konsep (Proof-of-Concept / PoC) yang kini beredar di GitHub, perlombaan antara penambalan dan eksploitasi massal telah resmi dimulai.

Baca Juga: Serangan Rantai Pasok "SleeperGem" Bajak Akun Dorman RubyGems untuk Incar Titik Akhir Pengembang

Ancaman wp2shell pada dasarnya adalah gabungan dari dua cacat perangkat lunak terpisah yang, jika dirangkai (chained), membuka jalan lurus menuju Eksekusi Kode Jarak Jauh (RCE).

1. CVE-2026-63030 (Manipulasi Rute Batch REST API): Cacat logika pada rute /wp-json/batch/v1. WordPress melacak sub-permintaan batch dalam dua larik (arrays) paralel. Dengan memicu kesalahan pada satu sub-permintaan, peretas dapat membuat kedua larik tersebut tidak sinkron. Hal ini memungkinkan permintaan berbahaya melewati daftar izin (allow-list) titik akhir dan masuk ke handler yang tidak seharusnya, sepenuhnya tanpa otentikasi.
2. CVE-2026-60137 (Injeksi SQL Inti): Cacat injeksi yang terletak pada parameter author__not_in di dalam WP_Query. Alih-alih memberikan larik yang diharapkan, peretas dapat menyuntikkan string mentah. Cek validasi akan terlewati, dan input peretas akan langsung dieksekusi ke dalam basis data.

Dengan memanfaatkan manipulasi rute batch (CVE-2026-63030), peretas anonim dapat menyentuh parameter injeksi SQL (CVE-2026-60137) yang seharusnya membutuhkan akses login, menciptakan rantai serangan RCE yang sempurna.

Kerentanan ini menyoroti kelemahan metrik penilaian CVSS tradisional. Paradoks Nya, kerentanan manipulasi rute yang memicu RCE (CVE-2026-63030) hanya mendapat skor 7.5 (Tinggi), sedangkan injeksi SQL (CVE-2026-60137) mendapat skor 9.1 (Kritis). Eksekutif TI harus mengabaikan label ini dan menangani keduanya sebagai insiden berstatus Kritis.

Berikut adalah rentang versi yang terdampak dan status perbaikannya:

Catatan: Ekosistem eksploitasi massal telah mapan. Sindikat peretas seperti WP-SHELLSTORM diketahui telah meretas lebih dari 17.000 situs hanya dari satu celah plugin lawas. Dengan eksploitasi "wp2shell" yang menargetkan sistem inti, jutaan situs kini berada dalam garis bidik.

Satu-satunya kondisi yang secara alami memitigasi serangan RCE ini adalah penggunaan Persistent Object Cache(seperti Redis atau Memcached). Jika infrastruktur Anda menggunakan metode caching ini, jalur eksekusi kode terputus (meskipun Injeksi SQL tetap menjadi risiko).

Jika pembaruan sistem inti tidak dapat segera dilakukan, terapkan langkah mitigasi darurat pada Web Application Firewall (WAF) Anda untuk memblokir penyerang anonim:

• Blokir rute URL: /wp-json/batch/v1
• Blokir query string: rest_route=/batch/v1
• Sebagai alternatif ekstrem, nonaktifkan akses REST API secara menyeluruh bagi pengguna yang tidak diautentikasi.

Kerentanan sistem inti pada platform Sistem Manajemen Konten (CMS) yang menopang lebih dari 500 juta situs web di dunia adalah mimpi buruk bagi tata kelola TI korporat. Serangan yang tidak memerlukan prasyarat (no preconditions) dan tidak memerlukan otentikasi berarti bahwa aset web eksternal perusahaan Anda dapat diambil alih dalam hitungan detik oleh bot pemindai otomatis.

Analisis Taktis untuk Eksekutif (C-Level):

1. Validasi "Pembaruan Paksa": Jangan berasumsi bahwa fitur pembaruan otomatis WordPress telah bekerja dengan sempurna. Konflik perizinan fail (file permissions) pada peladen sering kali menggagalkan pembaruan otonom ini. Tim infrastruktur wajib memvalidasi versi sistem secara manual.
2. Arsitektur Isolasi CMS: Situs web publik (seperti portal profil perusahaan atau blog investor) yang menggunakan WordPress tidak boleh berada pada jaringan atau peladen yang sama dengan basis data aplikasi inti bisnis. Pastikan ada segmentasi jaringan yang ketat (VLAN/Subnetting).
3. WAF Bukanlah Obat Kuat (Silver Bullet): Aturan pemblokiran WAF yang menggunakan teknik pencocokan pola (pattern matching) untuk memblokir rute REST API berpotensi mengganggu fungsionalitas integrasi pihak ketiga yang sah. Penambalan sistem dasar tetap merupakan resolusi absolut.

Jangan biarkan kelalaian pada aset web lapis luar perusahaan Anda menjadi pintu gerbang bagi aktor ancaman untuk menyusup ke dalam jaringan internal bisnis Anda. Kecepatan menambal adalah kunci saat Kode Eksploitasi (PoC) telah menjadi konsumsi publik.