Plugin Admin Menu Editor Pro Berbahaya Membobol 1.500 Situs WordPress

Versi berbahaya dari plugin Admin Menu Editor Pro untuk WordPress telah digunakan untuk membobol sekitar 1.500 situs setelah website milik pengembang plugin tersebut berhasil dikompromikan oleh threat actor.

Pelaku diduga berhasil mendapatkan akses ke infrastruktur pengembang dan kemudian menyisipkan kode berbahaya ke dalam pembaruan plugin. Update yang telah ditrojanisasi tersebut didistribusikan kepada pelanggan melalui website resmi Admin Menu Editor.

Menurut pengembang Janis Elsts, setidaknya 230 pelanggan memasang versi berbahaya tersebut pada sekitar 1.500 situs WordPress. Jumlah korban sebenarnya masih berpotensi lebih besar karena sulit menentukan berapa banyak pelanggan yang menggunakan versi plugin yang telah dimodifikasi.

Website Pengembang Dikompromikan

Insiden bermula pada Senin ketika pihak tidak berwenang berhasil mendapatkan akses ke adminmenueditor.com.

Penyerang kemudian mengunggah Admin Menu Editor Pro versi 2.35 sebagai pembaruan resmi untuk pelanggan.

Masalahnya, versi tersebut telah disisipi file PHP berbahaya bernama:

includes/wp-user-consent.php

File tersebut digunakan untuk memasang webshell pada website WordPress yang menginstal plugin tersebut.

Selain webshell, kode berbahaya juga membuat sebuah akun pengguna tersembunyi pada website korban.

Pengembang kemudian menyadari adanya intrusi dan menghapus versi berbahaya tersebut. Versi bersih 2.36 kemudian dirilis pada hari yang sama sekitar pukul 19:00 UTC.

Namun, masalah belum selesai.

Versi 2.36 Kembali Dikompromikan

Meskipun versi 2.35 telah ditarik, penyerang ternyata masih memiliki akses ke website pengembang.

Akibatnya, versi 2.36 yang seharusnya menjadi versi pengganti juga ikut dikompromikan.

Kondisi ini membuat proses pemulihan menjadi jauh lebih sulit karena pelanggan tidak dapat langsung menganggap versi 2.36 sebagai pembaruan yang aman.

Pengembang akhirnya memutuskan untuk membuat website tersebut offline sebagai langkah perlindungan terhadap pelanggan. Berdasarkan hasil investigasi, penyerang kemungkinan memiliki root-level access terhadap server yang menjalankan infrastruktur website.

Keputusan tersebut diambil agar sistem dapat dipulihkan dengan tingkat keyakinan yang lebih tinggi sebelum kembali digunakan.

Admin Menu Editor Digunakan Lebih dari 300.000 Situs

Admin Menu Editor merupakan plugin WordPress yang memungkinkan administrator melakukan kustomisasi terhadap Dashboard WordPress.

Versi gratis plugin tersebut telah digunakan pada lebih dari 300.000 website.

Sementara itu, Admin Menu Editor Pro merupakan versi premium yang menawarkan sejumlah kemampuan tambahan untuk mengelola antarmuka dan hak akses WordPress.

Beberapa fitur yang tersedia mencakup:

• Mengubah dan menyesuaikan menu Dashboard.
• Menyembunyikan plugin dari pengguna tertentu.
• Mengatur akses berdasarkan role.
• Membuat redirect saat login dan logout.

Karena plugin memiliki akses penting pada lingkungan administrasi WordPress, kompromi terhadap update plugin dapat memberikan dampak signifikan terhadap website yang memasangnya.

Sekitar 230 Pelanggan Teridentifikasi

Berdasarkan analisis log update server, pengembang memperkirakan sekitar 230 pelanggan terdampak dalam serangan awal.

Versi berbahaya tersebut diketahui telah terpasang pada setidaknya 1.500 situs. Satu pelanggan dapat mengelola beberapa website, sehingga jumlah situs yang terkena dampak lebih tinggi dibandingkan jumlah pelanggan.

Pengembang juga mengatakan bahwa beberapa ratus pelanggan lainnya mengunduh plugin dalam atau di sekitar periode distribusi versi berbahaya.

Karena itu, jumlah korban sebenarnya masih dapat bertambah setelah investigasi selesai.

Versi 2.35 diketahui tersedia di website resmi selama sekitar 06:00 hingga 13:00 UTC sebelum ditarik.

Cara Memeriksa Indikator Kompromi

Pengembang memberikan sejumlah indikator yang dapat digunakan administrator untuk memeriksa apakah website mereka terkena dampak.

Jika Admin Menu Editor Pro versi 2.35 atau 2.36 pernah dipasang, administrator disarankan memeriksa keberadaan beberapa artefak berikut.

1. File PHP Mencurigakan

Periksa direktori plugin Admin Menu Editor Pro untuk menemukan:

includes/wp-user-consent.php

Keberadaan file tersebut merupakan salah satu indikator kompromi yang perlu diperiksa lebih lanjut.

2. Direktori object-cache

Administrator juga perlu memeriksa apakah terdapat direktori baru:

/wp-content/object-cache/

Direktori tersebut disebut sebagai salah satu indikator yang berkaitan dengan malware yang disisipkan ke plugin.

3. Akun WordPress Tersembunyi

Periksa tabel:

wp_users

untuk menemukan akun dengan nama yang diawali:

wp_

Akun tersebut mungkin tidak terlihat melalui Dashboard WordPress karena dapat disembunyikan oleh kode berbahaya.

4. Database wp_options

Administrator juga perlu memeriksa tabel:

wp_options

untuk mencari option dengan nama yang menyerupai:

wp_ocache*

Artefak tersebut dapat menjadi indikator tambahan bahwa website telah terinfeksi.

Versi 2.34 Dipercaya Aman

Menurut pengembang, Admin Menu Editor Pro versi 2.34 diyakini bersih dari kode berbahaya yang ditemukan dalam insiden ini.

Versi gratis Admin Menu Editor juga tidak menunjukkan tanda-tanda terdampak dalam insiden tersebut.

Meski demikian, administrator yang pernah memasang versi Pro 2.35 atau 2.36 sebaiknya tetap melakukan pemeriksaan terhadap website dan database, terutama jika plugin tersebut telah digunakan selama periode distribusi update berbahaya.

Jangan Hanya Menghapus Plugin Jika Sudah Terkompromi

Jika website telah terinfeksi, pengembang menyebutkan bahwa solusi yang paling dapat diandalkan adalah melakukan restore dari backup yang aman yang dibuat sebelum 14 September 2026.

Pendekatan ini lebih aman dibandingkan sekadar menghapus file yang terlihat mencurigakan karena webshell atau mekanisme persistence lain mungkin telah ditempatkan di lokasi berbeda.

Jika backup yang aman tidak tersedia, pengembang merekomendasikan:

• Menghapus plugin Admin Menu Editor Pro.
• Menghapus direktori /wp-content/object-cache/.
• Menghapus file atau entri database yang diketahui berkaitan dengan kompromi.
• Memeriksa akun pengguna WordPress yang tidak dikenal.
• Memeriksa database untuk option mencurigakan.
• Melakukan pemeriksaan lebih menyeluruh terhadap file website.

Administrator juga perlu mempertimbangkan penggantian credential penting setelah kompromi dikonfirmasi, terutama jika penyerang diduga telah memperoleh akses tingkat tinggi.

Infrastruktur Pengembang Menjadi Titik Serangan

Insiden Admin Menu Editor Pro menunjukkan risiko besar dari supply-chain attack terhadap plugin WordPress.

Dalam skenario ini, pelanggan tidak harus mengunduh plugin dari sumber pihak ketiga atau memasang file yang mencurigakan secara manual. Update berbahaya justru didistribusikan melalui infrastruktur resmi pengembang.

Karena update plugin umumnya dipercaya sebagai bagian dari proses pemeliharaan website, kompromi terhadap sistem distribusi dapat memberikan peluang bagi penyerang untuk menjangkau banyak website sekaligus.

Pengembang Admin Menu Editor menyatakan bahwa insiden tersebut terbatas pada infrastrukturnya dan menyampaikan permintaan maaf kepada pelanggan yang terdampak.

Dengan setidaknya 1.500 situs yang diketahui memasang versi trojanized, administrator WordPress yang menggunakan Admin Menu Editor Pro sebaiknya segera memeriksa versi plugin dan indikator kompromi sebelum menganggap website mereka aman.

Sumber: Admin Menu Editor