Celah Kritis "wp2shell" Ancam Jutaan Situs WordPress, Bisa Diretas Tanpa Login

Cukup satu permintaan HTTP tanpa login sama sekali, dan sebuah situs WordPress standar bisa jatuh sepenuhnya ke tangan penyerang.

Para peneliti keamanan siber mengungkap dua kerentanan kritis di WordPress yang, jika digabungkan, memungkinkan eksekusi kode jarak jauh (remote code execution/RCE) tanpa perlu autentikasi sama sekali. Gabungan dua celah ini diberi nama wp2shell, merujuk pada dua CVE terpisah yaitu CVE-2026-63030 dan CVE-2026-60137.

Menurut Jake Knott, peneliti keamanan utama di watchTowr, eksploitasi terhadap celah ini sudah berjalan aktif sejak dini hari Sabtu waktu UTC. Awalnya penyerang memakai kode eksploit publik untuk mencuri kredensial yang sudah di-hash, sebelum akhirnya berkembang menjadi serangan RCE penuh begitu detail teknis tambahan mulai beredar. Knott menyebut dampaknya sudah meluas ke organisasi dari berbagai ukuran dan sektor industri.

Bisa Diserang Tanpa Syarat Apa Pun

Yang membuat celah ini terbilang berbahaya adalah kemudahannya untuk dieksploitasi. Rantai serangan ini ditemukan oleh tim Searchlight Cyber, yang menariknya memakai bantuan model AI OpenAI GPT 5.6 Sol dalam proses riset yang memakan waktu lebih dari 10 jam.

Menurut Searchlight Cyber, serangan ini tidak memerlukan prasyarat apa pun. Siapa saja bisa mengeksploitasinya secara anonim pada instalasi WordPress standar, bahkan tanpa plugin tambahan sekalipun. Kerentanan ini berlaku untuk semua versi WordPress yang dirilis sejak Desember 2025.

Ben Marr, insinyur keamanan di Intruder, menjelaskan bahwa serangan ini memanfaatkan bug route confusion pada REST API batch endpoint, yang memungkinkan penyerang memanggil handler internal tanpa melewati pemeriksaan izin sama sekali — semuanya bisa dilakukan hanya dengan satu permintaan HTTP.

Ribuan Organisasi Berpotensi Terdampak

Data dari Wiz, anak perusahaan Google yang berfokus pada keamanan cloud, menunjukkan gambaran skala masalah ini. Saat kedua CVE tersebut pertama kali dipublikasikan, sekitar 60 persen organisasi pengguna WordPress diketahui memiliki setidaknya satu instance yang rentan, dan 25 persen di antaranya bahkan mengekspos server yang rentan langsung ke internet. Angka ini disebut sudah mulai menurun seiring organisasi mulai menerapkan perbaikan.

Setelah berhasil masuk, para penyerang teramati melakukan berbagai aktivitas lanjutan: mengunggah plugin berbahaya, mengumpulkan data username dan email administrator, melancarkan serangan local file inclusion untuk mencuri kredensial database, mengakses panel admin, hingga menanamkan web shell PHP sederhana untuk mempertahankan akses.

Salah satu temuan mencolok adalah web shell berukuran 150 KB yang menyamar sebagai plugin keamanan WordPress bernama CMSmap. Alat ini berfungsi sebagai platform serangan lengkap, mendukung manajemen file, akses database, pemindaian port, hingga sejumlah modul eskalasi privilese.

Serangan Massal Pasca Eksploit Publik Bocor

watchTowr melaporkan gelombang serangan acak besar-besaran setelah kode eksploit publik beredar, dengan honeypot mereka mencatat puluhan ribu percobaan eksploitasi. Lebih dari 100 akun administrator backdoor dilaporkan berhasil dibuat oleh para penyerang, yang kemudian dipakai untuk memasang plugin WordPress palsu demi mendapatkan eksekusi kode atau mengunduh alat tambahan untuk memperdalam serangan.

Dalam setidaknya satu kasus, pelaku bahkan berulang kali mencoba memasang Overlord RAT, trojan akses jarak jauh berbasis bahasa pemrograman Go.

Para peneliti mengingatkan pemilik situs WordPress untuk segera memeriksa instance mereka, mencari tanda-tanda akun administrator baru yang mencurigakan, plugin ilegal, atau file asing lainnya — terlepas dari apakah situs tersebut sudah ditambal atau belum, demi memastikan ancaman benar-benar hilang sepenuhnya.