Apa yang Terjadi?
Pada 17 Juli 2026, tim keamanan WordPress merilis pembaruan darurat untuk menambal dua kerentanan pada inti (core) sistemnya. Sayangnya, tak lama setelah celah ini terungkap ke publik, peretas langsung memanfaatkannya secara luas dan tanpa pandang bulu, menyerang situs mana pun yang masih rentan.
Kombinasi dua bug ini diberi nama WP2Shell, karena jika digabungkan, keduanya memungkinkan penyerang menjalankan kode berbahaya di server korban tanpa perlu login maupun plugin tambahan sama sekali.
Mengenal Dua Celahnya
Dua kerentanan yang dimaksud adalah:
- CVE-2026-63030 — bug pada REST API yang menyebabkan kekeliruan pada rute batch permintaan, sehingga sistem gagal melakukan pemeriksaan otorisasi.
- CVE-2026-60137 — celah SQL injection pada inti WordPress yang sebelumnya hanya bisa diakses pengguna yang sudah login.
Jika kedua celah ini dirangkai, siapa pun di internet—tanpa akun dan tanpa syarat apa pun—dapat mengakses database situs, lalu mengambil alih kendali penuh atasnya.
Peneliti Adam Kues dari perusahaan keamanan Searchlight Cyber, yang pertama kali menemukan dan melaporkan celah ini, menegaskan bahwa serangan ini tidak memiliki prasyarat apa pun dan bisa dilakukan pengguna anonim pada instalasi WordPress standar tanpa plugin.
Seberapa Luas Dampaknya?
Kerentanan ini memengaruhi WordPress versi 6.9.0–6.9.4 dan 7.0.0–7.0.1. Berdasarkan statistik resmi WordPress, ada lebih dari 400 juta situs yang berjalan pada versi-versi rentan tersebut, meski angka ini kemungkinan belum mencakup seluruh situs yang benar-benar aktif menggunakannya.
Beberapa perusahaan keamanan siber seperti Patchstack, Hexastrike, dan WatchTowr telah mengonfirmasi adanya upaya eksploitasi aktif sejak akhir pekan setelah pembaruan dirilis. Tim riset VulnCheck bahkan telah mengidentifikasi lebih dari dua puluh varian proof-of-concept (kode contoh eksploitasi) yang menyasar WP2Shell hanya dalam beberapa hari setelah kode eksploitasi publik beredar.
Kenapa Ini Berbahaya?
Data dari Patchstack menunjukkan bahwa sepanjang 2025 saja ditemukan lebih dari 11 ribu kerentanan baru di ekosistem WordPress—naik 42% dari tahun sebelumnya. Yang lebih mengkhawatirkan, waktu rata-rata dari pengungkapan sebuah celah keamanan hingga muncul eksploitasi massal kini hanya sekitar 5 jam. Artinya, jeda waktu bagi pemilik situs untuk memperbarui sistem sebelum diserang semakin sempit.
Apa yang Harus Dilakukan Pemilik Situs WordPress?
- Perbarui WordPress segera ke versi terbaru yang sudah ditambal. Karena tingkat keparahannya, WordPress bahkan mengizinkan pembaruan paksa otomatis untuk kasus ini.
- Cek status kerentanan situs, misalnya lewat alat pemeriksa gratis yang dirilis Searchlight Cyber.
- Audit plugin dan tema secara berkala — hapus yang sudah tidak aktif digunakan atau tidak lagi dikembangkan, karena file yang masih tertinggal di server tetap bisa menjadi pintu masuk serangan.
- Pantau log aktivitas mencurigakan, terutama permintaan REST API yang tidak wajar, sebagai tanda awal percobaan eksploitasi.
- Lakukan backup rutin agar situs bisa cepat dipulihkan jika terlanjur disusupi.
Kesimpulan
Kasus WP2Shell menjadi pengingat bahwa popularitas WordPress sebagai CMS terbesar di dunia juga menjadikannya target empuk. Bagi pengelola situs kampus, media promosi, atau blog institusi, langkah pembaruan sistem sebaiknya tidak ditunda—apalagi ketika celah keamanan sudah diketahui publik dan sedang aktif dieksploitasi.
Dirangkum dari laporan Kompas.com, Liputan6.com, The Register, dan webhosting.today per 23–24 Juli 2026.
