WP2Shell: Kerentanan Kritis WordPress yang Memungkinkan Remote Code Execution Tanpa Login
Mengenal WP2Shell, rantai kerentanan kritis pada WordPress yang menggabungkan CVE-2026-63030 dan CVE-2026-60137 untuk memungkinkan Remote Code Execution (RCE) tanpa autentikasi, beserta versi terdampak dan langkah mitigasinya.
# WP2Shell: Kerentanan Kritis WordPress yang Memungkinkan Remote Code Execution Tanpa Login
Keamanan WordPress kembali menjadi perhatian setelah munculnya **WP2Shell**, sebuah rantai kerentanan keamanan kritis yang memungkinkan penyerang menjalankan kode dari jarak jauh atau *Remote Code Execution* (RCE) tanpa harus memiliki akun maupun akses login ke dashboard WordPress.
WP2Shell menggabungkan dua kerentanan pada WordPress Core, yaitu **CVE-2026-63030** dan **CVE-2026-60137**. Kombinasi keduanya dapat membuka jalan bagi penyerang untuk mendapatkan akses eksekusi kode pada instalasi WordPress yang belum mendapatkan pembaruan keamanan.
Ancaman ini menjadi perhatian serius karena eksploitasi tidak membutuhkan autentikasi pengguna pada sistem yang terdampak. Oleh karena itu, administrator website perlu memahami cara kerja kerentanan, versi yang berisiko, serta langkah perlindungan yang harus segera dilakukan.
## Apa Itu WP2Shell?
WP2Shell merupakan istilah yang digunakan untuk menggambarkan rangkaian eksploitasi dua kerentanan keamanan pada WordPress Core.
Rangkaian ini memanfaatkan kelemahan dalam pemrosesan REST API Batch Endpoint dan kerentanan SQL Injection pada fungsi WP_Query.
Jika kedua kelemahan tersebut berhasil dikombinasikan, penyerang dapat mencapai Remote Code Execution (RCE) tanpa perlu melakukan autentikasi terlebih dahulu.
Dampak RCE dapat sangat serius karena memungkinkan penyerang menjalankan perintah dalam konteks lingkungan aplikasi WordPress yang rentan.
Beberapa potensi dampaknya meliputi:
- Modifikasi file website tanpa izin.
- Pemasangan plugin atau komponen berbahaya.
- Pencurian informasi sensitif dari server.
- Penanaman webshell untuk mempertahankan akses.
- Perubahan konten dan konfigurasi website.
- Potensi pengambilalihan website secara keseluruhan.
## Mengenal CVE-2026-63030 dan CVE-2026-60137
WP2Shell bukan berasal dari satu kerentanan tunggal. Serangan ini memanfaatkan dua celah keamanan yang memiliki karakteristik berbeda.
### 1. CVE-2026-63030 – REST API Batch Route Confusion
CVE-2026-63030 merupakan kerentanan pada mekanisme pemrosesan rute REST API Batch WordPress.
Masalah ini berkaitan dengan perbedaan interpretasi rute ketika permintaan diproses melalui endpoint batch.
Dalam kondisi tertentu, kelemahan tersebut dapat memungkinkan permintaan yang seharusnya dibatasi mencapai jalur pemrosesan yang tidak semestinya.
Kerentanan ini memiliki tingkat keparahan kritis dengan skor CVSS 9.8.
### 2. CVE-2026-60137 – SQL Injection pada WP_Query
CVE-2026-60137 berkaitan dengan sanitasi parameter `author__not_in` pada fungsi WP_Query.
Parameter tersebut digunakan WordPress untuk melakukan penyaringan berdasarkan identitas penulis konten.
Ketika input yang tidak tepercaya diproses tanpa sanitasi yang memadai, terdapat potensi terjadinya SQL Injection.
Jika dieksploitasi, kelemahan ini dapat memengaruhi keamanan informasi database WordPress.
CVE-2026-60137 memiliki skor CVSS 5.9 sebagai kerentanan tersendiri. Namun, ketika dikombinasikan dengan CVE-2026-63030, dampaknya dapat meningkat secara signifikan hingga memungkinkan eksekusi kode dari jarak jauh.
## Versi WordPress yang Terdampak
Administrator website perlu memeriksa versi WordPress yang digunakan karena tidak seluruh versi memiliki tingkat paparan yang sama.
Berikut gambaran versi yang terdampak berdasarkan advisori keamanan:
| Versi WordPress | Status |
|---|---|
| 6.8.0 – 6.8.5 | Terdampak CVE-2026-60137 |
| 6.8.6 dan lebih baru pada cabang 6.8 | Perbaikan tersedia |
| 6.9.0 – 6.9.4 | Terdampak rantai WP2Shell |
| 6.9.5 dan lebih baru pada cabang 6.9 | Perbaikan tersedia |
| 7.0.0 – 7.0.1 | Terdampak rantai WP2Shell |
| 7.0.2 dan lebih baru pada cabang 7.0 | Perbaikan tersedia |
Perlu diperhatikan bahwa CVE-2026-60137 juga memengaruhi WordPress 6.8.x sebelum versi 6.8.6. Namun, rantai RCE WP2Shell secara penuh berkaitan dengan kelemahan batch route yang diperkenalkan pada WordPress 6.9.
Administrator sebaiknya menggunakan versi WordPress stabil terbaru yang masih mendapatkan dukungan keamanan, bukan sekadar mengandalkan nomor versi minimum di atas.
## Bagaimana Dampak WP2Shell terhadap Website?
Apabila sebuah website menjalankan WordPress yang rentan dan berhasil dieksploitasi, konsekuensinya dapat meluas dari sekadar gangguan tampilan.
Penyerang berpotensi mendapatkan kemampuan untuk menjalankan kode dalam lingkungan aplikasi.
Beberapa risiko yang perlu diwaspadai antara lain:
**1. Website Takeover**
Penyerang dapat memodifikasi file aplikasi, mengubah halaman website, atau memasang komponen yang tidak dikenal.
**2. Webshell Installation**
Webshell dapat digunakan sebagai mekanisme akses persisten sehingga penyerang berpotensi kembali mengakses server setelah eksploitasi awal.
**3. Database Exposure**
Informasi database yang tersimpan dalam instalasi WordPress berpotensi terekspos, termasuk informasi pengguna dan konfigurasi aplikasi.
**4. SEO Spam dan Redirect Berbahaya**
Website yang berhasil dikompromikan dapat dimanfaatkan untuk menyisipkan halaman spam, tautan berbahaya, atau pengalihan pengunjung ke situs lain.
**5. Persistent Access**
Penyerang dapat mencoba mempertahankan akses melalui modifikasi plugin, tema, maupun file aplikasi lainnya.
## Cara Melindungi Website WordPress dari WP2Shell
Pencegahan merupakan langkah paling penting untuk mengurangi risiko eksploitasi.
Berikut beberapa tindakan yang direkomendasikan untuk administrator website.
### 1. Segera Perbarui WordPress Core
Pastikan instalasi WordPress sudah menggunakan versi yang memiliki perbaikan keamanan.
Pembaruan yang relevan meliputi:
- WordPress 6.8.6 untuk cabang 6.8.
- WordPress 6.9.5 untuk cabang 6.9.
- WordPress 7.0.2 untuk cabang 7.0.
Jika tersedia versi stabil yang lebih baru dan didukung, prioritaskan versi tersebut.
### 2. Periksa REST API Batch Endpoint
Administrator dapat mempertimbangkan pembatasan akses anonim terhadap endpoint:
`/wp-json/batch/v1`
Pembatasan juga perlu mempertimbangkan bentuk permintaan REST API melalui parameter `rest_route`.
Namun, pembatasan REST API harus diuji terlebih dahulu karena dapat memengaruhi plugin, integrasi, dan fitur website yang sah.
Perhatikan file PHP yang tidak dikenal, perubahan file yang tidak direncanakan, serta plugin atau tema yang muncul tanpa sepengetahuan administrator.
### 4. Periksa Akun Administrator
Pastikan tidak terdapat akun administrator yang tidak dikenal.
Periksa juga aktivitas login, perubahan hak akses, serta akun pengguna yang dibuat pada waktu yang mencurigakan.
### 5. Gunakan WAF dan Monitoring Keamanan
Web Application Firewall (WAF) dapat membantu mengurangi permintaan berbahaya sebelum mencapai aplikasi WordPress.
Selain itu, aktifkan pemantauan log server, pemeriksaan integritas file, serta notifikasi aktivitas yang mencurigakan.
### 6. Lakukan Audit Jika Website Pernah Rentan
Memperbarui WordPress tidak otomatis menghilangkan webshell atau akses persisten yang mungkin sudah ditanam sebelum pembaruan.
Jika website sebelumnya menjalankan versi rentan ketika eksploitasi berlangsung, lakukan pemeriksaan keamanan menyeluruh.
Pertimbangkan untuk memulihkan file dari backup yang bersih, mengganti kredensial database dan administrator, serta memperbarui seluruh secret atau kunci autentikasi WordPress jika terdapat indikasi kompromi.
## Kesimpulan
WP2Shell menjadi pengingat bahwa keamanan website tidak hanya bergantung pada plugin dan tema yang digunakan, tetapi juga pada keamanan WordPress Core itu sendiri.
Kombinasi CVE-2026-63030 dan CVE-2026-60137 menunjukkan bagaimana dua kelemahan yang berbeda dapat membentuk jalur serangan yang berdampak sangat serius.
Administrator WordPress sebaiknya segera memeriksa versi instalasi, menerapkan pembaruan keamanan, melakukan audit file, serta memantau aktivitas server secara berkala.
Jangan menunggu hingga website mengalami perubahan mencurigakan. Tindakan pencegahan dan pemeriksaan keamanan secara rutin merupakan bagian penting dalam menjaga integritas website dan melindungi data pengunjung.
