Celah Plugin Backup WordPress Ekspos Jutaan Situs pada Serangan Pengambilalihan

Jutaan situs WordPress berisiko diambil alih setelah ditemukan kerentanan SQL injection pada plugin populer All-in-One WP Migration and Backup yang dapat dimanfaatkan penyerang tanpa autentikasi untuk menjalankan kode berbahaya dari jarak jauh.

Plugin ini digunakan untuk mencadangkan, mengekspor, mengimpor, serta memindahkan seluruh situs WordPress, termasuk database, media, tema, dan plugin, ke server atau domain lain.

Kerentanan tersebut dilacak sebagai CVE-2026-19949 dan mendapat tingkat keparahan tinggi. Celah ditemukan oleh peneliti keamanan Jack Taylor, yang melaporkannya pada pertengahan Agustus melalui tim keamanan siber Defiant, Wordfence.

Celah SQL Injection Berdampak pada Jutaan Situs

Dalam laporan Wordfence, CVE-2026-19949 dikategorikan sebagai second-order SQL injection yang memengaruhi All-in-One WP Migration and Backup hingga versi 7.109.

Masalah terjadi karena plugin salah memproses karakter backslash dan tanda kutip yang telah di-escape ketika menulis ulang konten database selama proses pemulihan arsip backup.

Penyerang yang tidak memiliki akun atau hak akses khusus dapat terlebih dahulu menyisipkan data yang telah dimanipulasi melalui fitur WordPress trackbacks.

Data berbahaya tersebut kemudian tidak langsung dieksekusi. Payload baru aktif ketika administrator melakukan proses ekspor dan impor situs, yang merupakan fungsi utama plugin tersebut.

Dengan kata lain, serangan membutuhkan interaksi berupa tindakan administratif, tetapi penyerang tidak perlu memiliki kredensial administrator untuk menanamkan payload sebelumnya.

Secret Key Plugin Dapat Dicuri

Salah satu konsekuensi paling serius dari eksploitasi ini adalah kemampuan untuk mengungkap secret import key milik plugin, yaitu ai1wm_secret_key.

Wordfence menjelaskan bahwa SQL injection dapat digunakan untuk mengekspos kunci tersebut melalui komentar publik.

Setelah memperoleh secret key, penyerang dapat menggunakannya untuk mengimpor arsip .wpress yang telah dimodifikasi dan berisi kode yang dapat dieksekusi.

Arsip tersebut pada akhirnya dapat memberikan kemampuan eksekusi kode kepada penyerang di situs WordPress yang menjadi target.

Pada tingkat akses tersebut, penyerang berpotensi mengambil kendali penuh atas situs, termasuk memodifikasi konten, memasang komponen berbahaya, atau melakukan aktivitas lain menggunakan lingkungan WordPress yang telah dikuasai.

Eksploitasi Dipicu Saat Admin Memulihkan Backup

Salah satu karakteristik penting CVE-2026-19949 adalah payload berbahaya tidak langsung aktif setelah ditanamkan.

Eksploitasi baru dipicu ketika administrator melakukan restore backup archive. Pada saat proses tersebut berlangsung, plugin memproses kembali batas string SQL dan data yang sebelumnya disisipkan dapat dieksekusi sebagai perintah SQL.

Persyaratan ini memang mengurangi risiko eksploitasi secara langsung karena penyerang harus menunggu administrator melakukan tindakan tertentu.

Namun, Wordfence menilai risiko tersebut tetap serius karena backup dan restore merupakan fungsi utama All-in-One WP Migration and Backup. Administrator sangat mungkin melakukan operasi tersebut pada suatu waktu.

Versi plugin yang rentan dan dalam kondisi nonaktif memiliki risiko lebih rendah. Meski demikian, situs tetap dapat dieksploitasi apabila administrator mengaktifkan plugin tersebut sementara untuk melakukan proses migrasi atau pemulihan backup.

Lebih dari 3,25 Juta Situs Masih Rentan

All-in-One WP Migration and Backup merupakan plugin WordPress dengan basis pengguna yang sangat besar.

Berdasarkan statistik WordPress.org, plugin tersebut memiliki lebih dari lima juta instalasi aktif.

ServMask, pengembang plugin, telah merilis perbaikan untuk kerentanan ini melalui versi 7.110 pada 20 Agustus 2026.

Namun, tingkat adopsi patch masih rendah. Berdasarkan statistik pembaruan yang disebutkan dalam laporan tersebut, baru sekitar 35% pengguna yang telah memperbarui plugin ke versi terbaru.

Artinya, sekitar 3,25 juta situs WordPress masih menjalankan versi All-in-One WP Migration and Backup yang rentan.

Status Versi Plugin

Pengembang Diberi Tahu Sebelum Patch Dirilis

Wordfence mengungkapkan bahwa mereka memberi tahu ServMask mengenai kerentanan tersebut pada 15 Agustus 2026, setelah memvalidasi temuan Jack Taylor.

Lima hari kemudian, pada 20 Agustus, ServMask merilis versi 7.110 yang telah memperbaiki CVE-2026-19949.

Dengan demikian, pengguna yang masih menjalankan versi 7.109 atau yang lebih lama disarankan segera memperbarui plugin untuk mengurangi risiko pengambilalihan situs.

Mengingat plugin memiliki jutaan instalasi aktif dan proses backup maupun restore merupakan aktivitas normal bagi penggunanya, rendahnya tingkat pembaruan membuat sejumlah besar situs WordPress masih menjadi target potensial.

Administrator juga sebaiknya memeriksa aktivitas mencurigakan pada situs, terutama jika sebelumnya menggunakan versi plugin yang rentan dan pernah melakukan proses impor atau pemulihan backup.

Sumber: Wordfence dan ServMask