Eksploitasi Publik wp2shell Dirilis, Admin WordPress Diminta Patch Segera
Eksploitasi publik untuk celah remote code execution (RCE) kritis yang dijuluki “wp2shell” di WordPress Core telah dirilis, membuat administrator situs perlu segera memperbarui instalasi WordPress mereka.
Serangan wp2shell terdiri dari dua celah yang dilacak sebagai CVE-2026-63030 dan CVE-2026-60137. Jika digabungkan, keduanya dapat memungkinkan pre-authentication remote code execution terhadap instalasi WordPress yang menjalankan versi 6.9.x dan 7.0.x.
Celah ini ditemukan oleh Adam Kues dari Searchlight Cyber. Berdasarkan temuan awal, penyerang tanpa autentikasi dapat mengeksploitasi rantai serangan tersebut pada instalasi WordPress standar tanpa membutuhkan plugin tambahan.
Dua Celah Digabungkan Menjadi Rantai RCE
wp2shell bukan satu bug tunggal, melainkan kombinasi dua kerentanan berbeda yang dapat dirangkai menjadi serangan RCE tanpa login. Celah pertama, CVE-2026-63030, merupakan REST API batch-route confusion vulnerability yang diperkenalkan pada WordPress 6.9.
Menurut advisory teknis, bug tersebut dapat digabungkan dengan celah SQL injection untuk mencapai remote code execution. Celah kedua, CVE-2026-60137, adalah SQL injection pada parameter author__not_in di WP_Query.
WordPress mendeskripsikan CVE-2026-60137 sebagai kerentanan SQL injection dengan tingkat keparahan tinggi yang memengaruhi WordPress 6.8 dan versi setelahnya. Namun rantai RCE penuh hanya berlaku pada versi yang juga memiliki bug batch-route confusion.
Versi WordPress yang Terdampak
Berdasarkan advisory WordPress, rantai RCE lengkap memengaruhi WordPress 6.9.0 hingga 6.9.4 serta WordPress 7.0.0 hingga 7.0.1. Celah SQL injection juga memengaruhi WordPress 6.8.0 hingga 6.8.5, tetapi tidak dapat digabungkan menjadi RCE karena bug REST API batch-route confusion baru diperkenalkan pada WordPress 6.9.
Perbaikan untuk rantai serangan wp2shell telah tersedia di WordPress 6.9.5 dan 7.0.2. Karena ini merupakan security release, administrator disarankan segera memperbarui situs tanpa menunggu jadwal maintenance berikutnya.
Tim keamanan WordPress juga mengaktifkan forced automatic security updates untuk instalasi yang didukung dan menjalankan versi terdampak. Langkah ini dilakukan karena tingkat risiko dianggap tinggi dan cakupan instalasi WordPress sangat besar.
Proof-of-Concept Publik Mulai Beredar
Searchlight Cyber awalnya menahan detail teknis eksploitasi untuk memberi waktu bagi administrator melakukan patch. Namun beberapa proof-of-concept publik kemudian muncul di GitHub, sehingga risiko eksploitasi massal meningkat signifikan.
Beberapa eksploitasi publik menggabungkan dua celah tersebut untuk mengekstrak hash password WordPress melalui SQL injection. Setelah itu, penyerang dapat mencoba memecahkan password administrator, login ke dashboard, mengunggah plugin berbahaya, dan menjalankan perintah di server.
Eksploitasi lain mengklaim dapat mencapai pre-authentication remote code execution tanpa memerlukan kredensial administrator. Klaim ini sejalan dengan deskripsi awal dari peneliti yang menemukan celah tersebut, meski detail teknis penuh masih perlu diverifikasi lebih lanjut oleh komunitas keamanan.
Tanda Eksploitasi di Dunia Nyata Mulai Terlihat
Firma keamanan watchTowr menyatakan telah melihat tanda-tanda awal eksploitasi di dunia nyata setelah eksploitasi publik beredar. Kondisi ini membuat patching menjadi prioritas mendesak, terutama untuk situs WordPress yang terekspos langsung ke internet.
Kerentanan kritis pada WordPress Core relatif jarang terjadi dibandingkan masalah pada plugin atau tema pihak ketiga. Karena itu, rantai serangan unauthenticated SQL injection atau RCE di core WordPress menjadi kasus yang sangat serius dan berpotensi berdampak luas.
Mitigasi Sementara Jika Belum Bisa Update
Bagi organisasi yang belum dapat langsung melakukan update, mitigasi sementara dapat dilakukan dengan memblokir akses anonim ke REST API secara menyeluruh menggunakan plugin yang sesuai. Alternatif lainnya adalah memblokir /wp-json/batch/v1 dan ?rest_route=/batch/v1 pada level Web Application Firewall (WAF).
Namun mitigasi tersebut hanya boleh diperlakukan sebagai langkah sementara. Patch tetap menjadi solusi utama karena WAF atau pemblokiran endpoint tidak selalu mampu menutup seluruh variasi eksploitasi, terutama ketika teknik serangan mulai dimodifikasi oleh pelaku ancaman.
Cloudflare juga telah menerapkan proteksi WAF untuk kedua kerentanan tersebut di seluruh paket layanan, termasuk akun gratis yang diproksikan melalui platformnya. Proteksi ini dapat membantu mengurangi paparan selama proses pembaruan, tetapi tidak menggantikan kewajiban patching.
Dengan ketersediaan proof-of-concept publik dan tanda eksploitasi awal, administrator perlu memastikan situs sudah berjalan di WordPress 7.0.2 atau 6.9.5 secepat mungkin. Situs yang tidak lagi menerima update otomatis sebaiknya diperiksa manual, terutama instalasi lama, staging yang terekspos publik, dan situs yang jarang dikelola.
