Celah Kritis Elementor Pro Bisa Memungkinkan RCE pada Situs WordPress

Sebuah kerentanan kritis pada plugin Elementor Pro dapat memungkinkan penyerang mengunggah file executable ke server WordPress dan menjalankan arbitrary code dari jarak jauh.

Kerentanan yang dilacak sebagai CVE-2026-32475 tersebut memengaruhi Elementor Pro versi sebelum 4.2.2. Masalah keamanan ini berasal dari modul File Upload, yang menggunakan dua proses terpisah untuk melakukan validasi dan memproses file yang diunggah.

Perbedaan cara kedua proses tersebut menangani upload dengan nama file kosong dapat dimanfaatkan untuk melewati mekanisme validasi dan menyimpan file PHP berbahaya ke direktori yang dapat diakses publik.

Perbedaan Validasi File Jadi Titik Masuk Serangan

Masalah utama CVE-2026-32475 terletak pada cara Elementor Pro menangani multipart upload yang berisi bagian dengan nama file kosong.

Pada proses validasi, upload dengan nama file kosong dianggap sebagai error UPLOAD_ERR_NO_FILE. Proses tersebut kemudian dapat berhenti lebih awal dan tidak memeriksa bagian upload berikutnya.

Namun, proses pemindahan file bekerja dengan logika berbeda. Bagian upload yang kosong dilewati, sementara file berikutnya tetap diproses dan dipindahkan ke direktori tujuan.

Penyerang dapat memanfaatkan perbedaan ini dengan membuat multipart request yang bagian pertamanya memiliki nama file kosong, kemudian diikuti payload PHP berbahaya.

Akibatnya, validator menganggap upload tersebut tidak memiliki file yang perlu diproses, sedangkan proses berikutnya tetap memindahkan payload PHP ke direktori publik:

wp-content/uploads/elementor/forms/

Dengan file PHP berbahaya berhasil ditempatkan di lokasi tersebut, penyerang dapat mengaksesnya melalui web server dan memicu eksekusi kode.

Bisa Berujung Remote Code Execution

Elementor Pro menggunakan fungsi uniqid() untuk menghasilkan nama file yang diunggah. Nama tersebut tidak benar-benar acak karena pembentukannya bergantung pada waktu.

Kondisi ini memungkinkan penyerang memperkirakan nama file payload menggunakan teknik timing brute-force.

Dalam konfigurasi tertentu, nama file bahkan dapat diperoleh melalui email autoresponder yang dikirim setelah proses upload.

Setelah URL file berhasil diketahui, penyerang hanya perlu mengakses file PHP tersebut. Jika server mengizinkan eksekusi PHP pada lokasi tersebut, interpreter PHP akan menjalankan isinya dengan hak akses yang dimiliki web server.

Pada tahap ini, serangan dapat berkembang menjadi remote code execution (RCE), sehingga pelaku berpotensi menjalankan arbitrary code pada server yang menjadi target.

Tidak Semua Pengguna Elementor Pro Terdampak

Elementor Pro merupakan versi berbayar dari Elementor, salah satu page builder WordPress yang sangat populer. Elementor secara keseluruhan memiliki lebih dari 10 juta active installs.

Versi Pro menyediakan berbagai fitur tambahan, termasuk pembuatan form, theme builder, popup builder, custom code dan CSS, hingga berbagai fitur untuk website e-commerce.

Meski demikian, CVE-2026-32475 tidak berdampak pada seluruh instalasi Elementor Pro.

Eksploitasi membutuhkan website yang memiliki Elementor Pro Form yang sudah dipublikasikan dan mengandung field File Upload. Selain itu, opsi multiple file upload juga harus diaktifkan.

Fitur multiple file upload tersebut dinonaktifkan secara default. Elementor menyatakan bahwa website yang tidak memenuhi kondisi tersebut tidak terdampak oleh kerentanan ini.

Meski begitu, developer tetap merekomendasikan seluruh pengguna memperbarui Elementor Pro ke versi terbaru untuk mengurangi risiko keamanan maupun masalah kompatibilitas.

Patch Sudah Tersedia

Kerentanan ini pertama kali dilaporkan kepada pihak terkait pada 16 Juli 2026 oleh peneliti keamanan Tin Pham. Informasi tersebut kemudian diteruskan kepada tim Elementor.

Developer Elementor menyiapkan perbaikan sehari setelah laporan diterima. Patch tersebut kemudian diverifikasi sebelum akhirnya dirilis kepada pengguna.

Versi yang telah diperbaiki adalah Elementor Pro 4.2.2.

Administrator WordPress yang menggunakan Elementor Pro sebaiknya segera memperbarui plugin ke versi terbaru, terutama jika website memiliki form dengan fitur upload file.

Selain melakukan update, administrator juga disarankan memeriksa direktori:

wp-content/uploads/elementor/forms/

Pemeriksaan tersebut penting untuk menemukan kemungkinan file PHP atau file mencurigakan lainnya yang telah diunggah selama periode ketika website masih menggunakan versi rentan.

Update Plugin Tidak Menghapus File Berbahaya

Salah satu hal penting yang perlu diperhatikan adalah melakukan update Elementor Pro tidak otomatis menghapus file berbahaya yang mungkin telah diunggah sebelum patch diterapkan.

Karena itu, administrator tidak sebaiknya berhenti setelah memperbarui plugin. Direktori upload Elementor perlu diperiksa secara menyeluruh untuk memastikan tidak terdapat PHP shell, webshell, atau file mencurigakan lain yang ditanamkan oleh penyerang.

Jika ditemukan file yang tidak dikenal, administrator juga perlu memeriksa access log dan aktivitas server untuk mengetahui apakah file tersebut pernah diakses dan apakah terdapat indikasi eksekusi kode.

Hingga saat ini, belum terdapat laporan mengenai eksploitasi aktif CVE-2026-32475 di dunia nyata. Namun, kemampuan kerentanan ini untuk melewati validasi upload dan mencapai remote code execution membuat pengguna Elementor Pro yang memenuhi kondisi terdampak disarankan tidak menunda pembaruan.

Sumber: Patchstack