Pengelola website berbasis WordPress perlu meningkatkan kewaspadaan setelah ditemukan rangkaian kerentanan serius pada WordPress Core yang dapat membuka jalan bagi penyerang untuk menjalankan kode dari jarak jauh. Risiko ini menjadi perhatian besar karena serangan dapat dilakukan terhadap instalasi yang masih menggunakan versi rentan, bahkan tanpa mengharuskan penyerang memiliki akun atau akses login terlebih dahulu.
Kerentanan yang dikenal dalam pemberitaan keamanan sebagai wp2shell melibatkan dua masalah keamanan, yakni CVE-2026-63030 dan CVE-2026-60137. Jika kedua celah tersebut dimanfaatkan secara berantai, penyerang dapat bergerak dari permintaan HTTP anonim menuju eksekusi kode pada server yang menjalankan WordPress. Kondisi tersebut berpotensi membuat website kehilangan kendali atas sebagian atau seluruh sistemnya.
Mengapa Bug WordPress Ini Berbahaya?
WordPress merupakan perangkat lunak manajemen konten yang digunakan untuk membangun dan mengelola berbagai jenis website. Karena jumlah instalasinya sangat besar, kerentanan pada bagian inti sistem memiliki konsekuensi yang lebih luas dibandingkan masalah yang hanya ditemukan pada satu tema atau plugin tertentu.
Dalam kasus ini, salah satu celah berkaitan dengan mekanisme REST API dan pemrosesan batch pada WordPress. Masalah tersebut dapat disalahgunakan bersama kerentanan SQL injection sehingga permintaan dari pengguna yang tidak terautentikasi dapat diarahkan menuju tindakan yang seharusnya tidak tersedia bagi pengguna anonim.
Risiko terbesar muncul ketika rangkaian kerentanan tersebut digunakan untuk mencapai remote code execution atau RCE. Secara sederhana, RCE memungkinkan pihak yang berada dari jarak jauh menjalankan instruksi pada sistem yang menjadi target. Dampaknya sangat bergantung pada hak akses akun layanan dan konfigurasi server, tetapi konsekuensinya dapat mencakup perubahan konten, pembuatan akun, pemasangan kode berbahaya, hingga pengambilan data.
Dua Kerentanan Saling Melengkapi
WordPress menjelaskan bahwa pembaruan keamanan yang dirilis pada Juli 2026 menangani dua persoalan berbeda. Salah satunya adalah masalah SQL injection yang dilacak sebagai CVE-2026-60137. Kerentanan ini memengaruhi WordPress 6.8 dan versi setelahnya yang berada dalam rentang terdampak.
Masalah kedua, CVE-2026-63030, berkaitan dengan kebingungan rute pada endpoint batch REST API. Ketika dikombinasikan dengan kerentanan SQL injection, celah tersebut dapat digunakan untuk mencapai eksekusi kode dari jarak jauh tanpa autentikasi.
Karena kedua masalah memiliki karakteristik berbeda, pengelola website tidak cukup hanya memeriksa apakah mereka menggunakan plugin tertentu. Pemeriksaan juga harus mencakup versi WordPress Core yang sedang digunakan. Inilah salah satu alasan mengapa pembaruan inti WordPress menjadi langkah penting dalam merespons ancaman tersebut.
Versi yang Terdampak
Menurut pemberitahuan keamanan WordPress, cabang WordPress 7.0 sebelum versi 7.0.2 dan cabang 6.9 sebelum versi 6.9.5 terdampak oleh kedua kerentanan. Sementara itu, WordPress 6.8 terdampak oleh kerentanan SQL injection dan mendapatkan perbaikan melalui versi 6.8.6. Versi beta WordPress 7.1 juga mendapatkan pembaruan keamanan melalui beta 2.
WordPress menyatakan versi sebelum 6.8 tidak terdampak oleh dua kerentanan yang menjadi perhatian dalam pembaruan tersebut. Meski demikian, menggunakan versi lama tidak otomatis berarti sebuah website aman dari kerentanan lain. Pembaruan perangkat lunak tetap menjadi bagian penting dari pengelolaan keamanan website secara keseluruhan.
WordPress Rilis Pembaruan Keamanan
WordPress merilis versi 7.0.2 sebagai pembaruan keamanan pada 17 Juli 2026. Rilis tersebut menangani satu masalah dengan tingkat keparahan kritis dan satu masalah dengan tingkat keparahan tinggi. Karena tingkat risikonya, tim WordPress juga mengaktifkan mekanisme pembaruan paksa melalui sistem pembaruan otomatis untuk instalasi yang terdampak dan mendukung mekanisme tersebut.
Pembaruan serupa diberikan untuk cabang versi sebelumnya. WordPress 6.9 mendapatkan versi 6.9.5, sedangkan WordPress 6.8 memperoleh versi 6.8.6. Tujuannya adalah memberikan jalur perbaikan bagi pengguna yang masih berada pada cabang versi tersebut tanpa harus langsung berpindah ke versi utama yang lebih baru.
Bagi pengelola website, keberadaan pembaruan otomatis sebaiknya tidak menjadi alasan untuk mengabaikan pemeriksaan. Administrator tetap perlu masuk ke dashboard dan memastikan versi yang terpasang benar-benar sudah berada pada rilis yang telah diperbaiki. Langkah ini penting terutama pada website yang menggunakan konfigurasi pembaruan otomatis berbeda atau memiliki pengaturan server yang membatasi proses pembaruan.
Ancaman Tidak Berhenti Setelah Patch
Salah satu persoalan penting dalam insiden keamanan WordPress adalah jeda antara pengungkapan kerentanan dan penerapan pembaruan oleh pemilik website. Ketika informasi teknis mengenai sebuah celah sudah tersedia untuk publik, penyerang dapat mempelajari cara memanfaatkannya terhadap situs yang belum diperbarui.
Sejumlah laporan keamanan setelah pembaruan WordPress tersebut menunjukkan bahwa eksploitasi terhadap kerentanan wp2shell mulai terlihat di internet. Peneliti keamanan juga melaporkan adanya aktivitas pemindaian otomatis dan upaya eksploitasi terhadap instalasi WordPress yang masih rentan.
Kondisi tersebut menunjukkan bahwa pemasangan patch bukan sekadar tindakan administratif. Pembaruan harus dipandang sebagai bagian dari respons langsung terhadap ancaman. Website yang tetap menggunakan versi rentan setelah tersedia pembaruan menghadapi risiko lebih besar dibandingkan situs yang sudah menerapkan perbaikan.
Website yang Sudah Di-update Tetap Perlu Diperiksa
Memasang pembaruan merupakan langkah utama, tetapi tidak selalu cukup jika sebuah website telah lebih dahulu berhasil ditembus. Ketika penyerang mendapatkan kemampuan menjalankan kode pada server, mereka dapat mencoba meninggalkan akses tambahan agar tetap dapat kembali setelah kerentanan awal ditutup.
Karena itu, administrator yang mengetahui bahwa website mereka sempat menggunakan versi rentan perlu mempertimbangkan pemeriksaan keamanan setelah proses pembaruan. Pemeriksaan dapat diarahkan pada perubahan yang tidak dikenal di panel administrator, akun baru yang tidak dibuat oleh pengelola, plugin yang muncul tanpa izin, serta file atau konfigurasi yang mencurigakan.
Langkah pemeriksaan menjadi semakin penting karena pembaruan hanya memperbaiki celah perangkat lunak. Jika penyerang telah memasang mekanisme akses lain sebelum patch diterapkan, mekanisme tersebut tidak selalu hilang hanya karena WordPress telah diperbarui.
Perhatikan Akun Administrator
Akun administrator memiliki hak akses tinggi sehingga menjadi salah satu titik yang perlu diperiksa setelah insiden keamanan. Pengelola dapat mencocokkan daftar pengguna dengan catatan internal untuk memastikan tidak terdapat akun yang tidak dikenal.
Jika ditemukan akun mencurigakan, administrator sebaiknya tidak langsung menganggapnya sebagai kesalahan sistem. Akun yang tidak dikenal dapat menjadi indikator bahwa website pernah diakses oleh pihak lain. Dalam kondisi seperti itu, pemeriksaan menyeluruh terhadap log, file, plugin, tema, serta kredensial yang digunakan untuk mengakses sistem menjadi penting.
Plugin dan Tema Juga Harus Diperhatikan
Kerentanan yang menjadi perhatian kali ini berada pada WordPress Core, bukan berarti plugin dan tema dapat diabaikan. Ekosistem WordPress terdiri dari banyak komponen tambahan yang masing-masing dapat memiliki kerentanan sendiri.
Pengelola website sebaiknya menggunakan plugin dan tema dari sumber terpercaya serta memastikan semuanya memperoleh pembaruan. Komponen yang sudah tidak dipelihara, tidak lagi diperlukan, atau berasal dari sumber yang tidak jelas sebaiknya ditinjau kembali karena dapat memperbesar permukaan serangan.
Prinsip yang sama berlaku untuk plugin yang tampak tidak aktif. Komponen yang tidak digunakan sebaiknya dipertimbangkan untuk dihapus jika memang tidak diperlukan. Mengurangi jumlah komponen yang terpasang dapat membantu menyederhanakan pemeliharaan dan mengurangi potensi titik lemah.
Langkah Penting bagi Pemilik Website WordPress
Respons terhadap kerentanan tidak harus rumit, tetapi perlu dilakukan secara sistematis. Pemilik website dapat memulai dengan memastikan versi WordPress yang digunakan, kemudian memasang pembaruan keamanan sesuai cabang versi yang tersedia.
- Periksa versi WordPress Core. Pastikan website tidak lagi menggunakan versi yang termasuk dalam rentang terdampak.
- Pasang pembaruan keamanan. Gunakan versi WordPress yang telah menerima perbaikan resmi.
- Periksa pembaruan otomatis. Pastikan mekanisme pembaruan berjalan sesuai kebijakan pengelolaan website.
- Audit akun pengguna. Cari akun administrator atau pengguna lain yang tidak dikenali.
- Periksa plugin dan tema. Pastikan komponen tambahan berasal dari sumber terpercaya dan telah diperbarui.
- Tinjau file dan aktivitas mencurigakan. Perubahan yang tidak dikenal setelah periode ketika website rentan perlu ditelusuri.
- Pastikan cadangan tersedia. Backup yang baik membantu proses pemulihan apabila terjadi kerusakan atau kompromi.
- Pantau website setelah pembaruan. Perhatikan perubahan perilaku, munculnya pengguna baru, pengalihan halaman, atau aktivitas lain yang tidak biasa.
Waspada Terhadap Dampak Setelah Website Dibajak
Website yang berhasil dikuasai penyerang tidak selalu langsung menunjukkan gejala yang jelas. Sebagian serangan dapat mengubah halaman tertentu, menyisipkan kode, membuat akun baru, mengarahkan pengunjung ke halaman lain, atau memanfaatkan server untuk aktivitas yang tidak berkaitan dengan tujuan asli website.
Bagi website perusahaan, organisasi, media, maupun toko daring, dampaknya dapat meluas ke reputasi dan kepercayaan pengguna. Jika situs digunakan untuk mengumpulkan informasi pelanggan, kompromi terhadap server juga dapat meningkatkan risiko terhadap data yang tersimpan di dalamnya, tergantung pada konfigurasi dan hak akses yang berhasil diperoleh penyerang.
Karena itu, keamanan WordPress tidak seharusnya dipahami sebatas memasang antivirus atau menambahkan satu plugin keamanan. Keamanan membutuhkan kombinasi antara perangkat lunak yang diperbarui, konfigurasi server yang baik, pembatasan hak akses, pencadangan, pemantauan, dan respons insiden yang terencana.
Pembaruan Menjadi Pertahanan Paling Dasar
Kasus wp2shell memperlihatkan mengapa pembaruan perangkat lunak menjadi bagian penting dari keamanan digital. Bahkan website yang tidak menggunakan plugin tambahan dapat menghadapi risiko ketika kerentanan ditemukan pada komponen inti yang menjadi fondasi sistem.
Pengelola website tidak perlu menunggu sampai muncul tanda-tanda peretasan untuk bertindak. Begitu pembaruan keamanan tersedia, versi yang digunakan perlu diperiksa dan diperbarui sesuai rekomendasi pengembang. Jika website diduga telah dieksploitasi sebelum patch diterapkan, proses penanganannya harus diperluas dengan pemeriksaan kemungkinan kompromi.
Dengan langkah tersebut, risiko tidak hanya dikurangi pada sisi kerentanan teknis, tetapi juga pada kemungkinan penyerang mempertahankan akses setelah celah utama ditutup. Bagi pemilik website WordPress, pesan terpenting dari munculnya bug kritis ini sederhana: jangan menunda pembaruan keamanan dan jangan menganggap website yang sudah di-patch otomatis bebas dari tanda-tanda kompromi.
