Celah Kritis Elementor Pro Dieksploitasi untuk Mengambil Alih Situs WordPress
Sebuah kerentanan kritis pada plugin Elementor Pro untuk WordPress kini aktif dieksploitasi dalam serangan yang memungkinkan penyerang mengunggah webshell, menjalankan perintah arbitrer, dan berpotensi mengambil alih server situs yang terdampak.
Kerentanan yang dilacak sebagai CVE-2026-32475 telah diperbaiki pada Agustus 2026. Namun, aktivitas eksploitasi meningkat setelah patch dirilis, dengan hampir 200.000 percobaan eksploitasi telah diblokir oleh Web Application Firewall (WAF) milik Wordfence.
Elementor Pro sendiri merupakan salah satu plugin WordPress populer untuk membangun halaman menggunakan antarmuka drag-and-drop, dengan lebih dari 6 juta instalasi aktif.
Celah Upload File di Elementor Pro
CVE-2026-32475 berasal dari kesalahan validasi terhadap array file upload pada form Elementor Pro.
Kerentanan tersebut terdapat pada Elementor Pro versi 4.2.1 dan sebelumnya.
Masalah memungkinkan penyerang memanipulasi struktur file yang dikirim melalui fitur File Upload sehingga proses validasi plugin dapat dilewati.
Dalam skenario eksploitasi, penyerang mengirimkan dua elemen file dalam sebuah array. Elemen pertama dibuat kosong, sedangkan elemen kedua berisi file PHP berbahaya.
Struktur tersebut menyebabkan Elementor Pro berhenti melakukan validasi terhadap file berikutnya. Akibatnya, file PHP berbahaya dapat lolos dan diunggah ke server.
File yang berhasil diunggah kemudian disimpan di:
/wp-content/uploads/elementor/forms/
Karena file PHP tersebut dapat diakses secara langsung, penyerang dapat menjalankannya untuk mengeksekusi perintah arbitrer pada server.
Bisa Digunakan untuk Menjalankan Webshell
Dampak CVE-2026-32475 jauh lebih serius daripada sekadar kemampuan mengunggah file.
Penyerang dapat mengunggah PHP webshell yang kemudian digunakan sebagai pintu masuk untuk menjalankan perintah pada server WordPress.
Setelah webshell berhasil dieksekusi, penyerang berpotensi memperoleh kendali terhadap lingkungan hosting, bergantung pada hak akses yang dimiliki proses web server.
Aktivitas tersebut dapat digunakan untuk memasang malware tambahan, memodifikasi situs, mencuri data, atau melakukan tindakan lain terhadap server yang berhasil dikompromikan.
Patchstack sebelumnya juga telah memperingatkan bahwa kerentanan ini dapat dimanfaatkan untuk mengunggah file PHP arbitrer dan memicu eksekusi kode pada server.
Tidak Semua Situs Elementor Pro Bisa Dieksploitasi
Meski memiliki tingkat keparahan kritis, CVE-2026-32475 membutuhkan konfigurasi tertentu agar dapat dieksploitasi.
Situs WordPress harus memiliki Elementor Pro Form widget yang telah dipublikasikan, serta setidaknya satu File Upload field di dalam form tersebut.
Konfigurasi seperti ini cukup umum digunakan pada situs yang menyediakan formulir untuk mengunggah dokumen, gambar, atau file dari pengunjung.
Jika fitur File Upload tersebut tersedia secara publik, penyerang dapat mencoba mengirimkan request yang telah dimanipulasi untuk memanfaatkan celah validasi.
Eksploitasi Dimulai pada Hari Patch Dirilis
Menurut Wordfence, aktivitas eksploitasi CVE-2026-32475 mulai terdeteksi pada 19 Agustus 2026.
Tanggal tersebut bertepatan dengan hari Elementor merilis versi 4.2.2, yang telah memperbaiki kerentanan.
Hal ini menunjukkan bahwa penyerang bergerak sangat cepat setelah informasi mengenai patch tersedia, termasuk kemungkinan melakukan reverse engineering untuk memahami kelemahan yang telah diperbaiki.
Aktivitas serangan kemudian meningkat antara 19 hingga 23 Agustus.
Dalam periode tersebut, Wordfence mencatat lebih dari 190.000 percobaan eksploitasi yang berhasil diblokir terhadap klien yang menggunakan layanan keamanan mereka.
Wordfence juga menyediakan daftar alamat IP yang digunakan untuk melancarkan ribuan percobaan serangan sehingga administrator dapat memasukkannya ke dalam blocklist.
Lebih dari 6 Juta Situs Berpotensi Terdampak
Basis instalasi Elementor Pro yang sangat besar membuat kerentanan ini menjadi perhatian serius bagi administrator WordPress.
Dengan lebih dari 6 juta instalasi aktif, masih banyak situs yang berpotensi menjalankan versi lama dan belum mendapatkan patch.
Administrator sebaiknya segera memperbarui Elementor Pro ke versi 4.2.2 atau lebih baru.
Namun, melakukan update saja belum tentu cukup jika situs sudah menjadi target sebelum patch diterapkan.
Periksa Folder Upload untuk Mencari Webshell
Wordfence secara khusus menyarankan administrator memeriksa direktori:
/wp-content/uploads/elementor/forms/
Direktori tersebut memang digunakan Elementor untuk menyimpan file yang dikirim melalui form. Namun, keberadaan file PHP di lokasi tersebut dapat menjadi indikator kuat bahwa situs telah disusupi.
Administrator sebaiknya memeriksa apakah terdapat file .php yang tidak dikenal atau tidak seharusnya berada di direktori tersebut.
Jika ditemukan file mencurigakan, situs perlu menjalani proses investigasi dan pembersihan lebih lanjut, karena keberadaan webshell dapat menunjukkan bahwa penyerang sudah berhasil mendapatkan kemampuan eksekusi kode.
Administrator juga disarankan meninjau log server dan aktivitas akun untuk mengetahui apakah terdapat akses atau perubahan lain yang dilakukan penyerang.
Segera Perbarui Elementor Pro
Dengan eksploitasi yang sudah berlangsung dan jumlah percobaan serangan yang mencapai ratusan ribu, administrator WordPress sebaiknya tidak menunda pembaruan.
Langkah utama yang direkomendasikan adalah:
- Perbarui Elementor Pro ke versi 4.2.2 atau lebih baru.
- Periksa direktori
/wp-content/uploads/elementor/forms/untuk mencari file PHP mencurigakan. - Hapus dan investigasi file yang tidak dikenal jika ditemukan.
- Periksa log server untuk mencari request atau aktivitas mencurigakan.
- Tinjau akun administrator dan kredensial lain jika terdapat indikasi kompromi.
CVE-2026-32475 menjadi pengingat bahwa plugin WordPress dengan fitur upload file dapat menjadi target bernilai tinggi. Ketika celah tersebut memungkinkan upload file PHP dan eksekusi kode, dampaknya dapat berkembang dari sekadar kompromi plugin menjadi pengambilalihan penuh situs WordPress.
Sumber: Wordfence dan Elementor
