Hacker Aktif Menargetkan Situs WordPress lewat Plugin WooCommerce

Situs WordPress kembali menjadi target serangan aktif setelah hacker diketahui mengeksploitasi kerentanan kritis pada plugin premium WooCommerce Wholesale Lead Capture. Celah ini memungkinkan penyerang yang tidak terautentikasi mengunggah file PHP berbahaya dan berpotensi mengambil alih situs secara penuh.

Kerentanan tersebut dilacak sebagai CVE-2026-27540 dan memengaruhi WooCommerce Wholesale Lead Capture versi 2.0.3.1 dan lebih lama.

Eksploitasi aktif terhadap celah ini telah terdeteksi dalam jumlah besar. Perusahaan keamanan WordPress Defiant melaporkan bahwa Web Application Firewall (WAF) Wordfence telah memblokir lebih dari 100.000 serangan yang berkaitan dengan CVE-2026-27540.

Celah Upload File Memungkinkan Webshell PHP

CVE-2026-27540 merupakan kerentanan unauthenticated arbitrary file upload yang ditemukan oleh peneliti keamanan Teemu Saarentaus.

Masalahnya berasal dari sebuah AJAX action bernama wwlc_file_upload_handler yang dapat diakses tanpa autentikasi. Fitur tersebut melakukan pemeriksaan ekstensi file berdasarkan daftar ekstensi yang dikirim melalui parameter file_settings.

Karena parameter tersebut dapat dikendalikan oleh pengguna, penyerang dapat memanipulasinya agar ekstensi PHP dianggap sebagai jenis file yang diperbolehkan.

Akibatnya, hacker dapat mengunggah file PHP ke server WordPress. File tersebut kemudian dapat digunakan sebagai webshell untuk menjalankan perintah atau melakukan aktivitas berbahaya lainnya di server.

Jika eksploitasi berhasil, dampaknya dapat jauh lebih besar daripada sekadar mengunggah satu file. Penyerang berpotensi memperoleh pijakan di situs dan menggunakannya untuk memasang malware tambahan, membuat persistence, mencuri data, atau mengambil kendali lebih luas terhadap website.

Patch Sebenarnya Sudah Tersedia Sejak Februari

Kerentanan ini sebenarnya telah diperbaiki beberapa bulan sebelum aktivitas eksploitasi besar terdeteksi.

Pengembang WooCommerce Wholesale Lead Capture merilis versi 2.0.3.2 pada 20 Februari 2026, yang memperbaiki masalah keamanan tersebut.

Dengan demikian, situs yang masih menggunakan versi 2.0.3.1 atau lebih lama tetap berisiko menjadi target serangan.

Masalahnya menjadi semakin serius karena eksploitasi kini dilakukan secara aktif dan dalam jumlah besar.

Wordfence Memblokir Lebih dari 100.000 Serangan

Defiant, perusahaan keamanan di balik Wordfence, melaporkan bahwa sistem WAF mereka telah memblokir lebih dari 100.000 percobaan eksploitasi CVE-2026-27540.

Aktivitas serangan mengalami peningkatan pada beberapa periode, terutama antara 4 hingga 17 Juni, kemudian kembali mengalami lonjakan pada 1 Juli dan 30 Agustus 2026.

Pola tersebut menunjukkan bahwa kerentanan yang telah diperbaiki sejak Februari masih terus menjadi sasaran setelah berbulan-bulan.

Wordfence juga mengidentifikasi sejumlah alamat IP yang menjadi sumber utama aktivitas eksploitasi. Beberapa IP tersebut dilaporkan menghasilkan puluhan ribu percobaan serangan.

Hacker Mengunggah Webshell untuk Reconnaissance

Serangan yang diamati Wordfence tidak berhenti setelah file PHP berhasil diunggah.

Hacker menggunakan webshell untuk melakukan reconnaissance, yaitu mengumpulkan informasi mengenai lingkungan server yang telah berhasil ditembus.

Webshell yang ditemukan juga menyediakan kemampuan untuk mengunggah file tambahan ke situs melalui browser. Hal tersebut memungkinkan penyerang menambahkan payload berbahaya lain setelah mendapatkan akses awal.

Secara sederhana, pola serangannya dapat digambarkan sebagai berikut:

Eksploitasi AJAX → manipulasi file_settings → upload file PHP → webshell → reconnaissance → payload tambahan

Rangkaian ini membuat kerentanan upload file tersebut sangat berbahaya bagi situs WordPress yang belum diperbarui.

Cara Memeriksa Apakah Situs WordPress Terkena Dampak

Administrator WordPress disarankan melakukan pemeriksaan terhadap situs, terutama jika masih menggunakan plugin versi lama.

Beberapa indikator yang perlu diperhatikan antara lain:

• File PHP yang tidak dikenal di direktori upload.
• File PHP yang baru dibuat atau dimodifikasi secara tidak wajar.
• Request mencurigakan menuju /wp-admin/admin-ajax.php.
• Request yang memanggil AJAX action wwlc_file_upload_handler.
• Akun administrator WordPress yang tidak dikenal.
• Aktivitas server yang tidak biasa setelah tanggal terjadinya lonjakan eksploitasi.

Pemeriksaan log server juga dapat membantu mengidentifikasi apakah endpoint tersebut pernah menjadi sasaran eksploitasi.

Administrator sebaiknya memberikan perhatian khusus terhadap file PHP yang berada di direktori yang secara normal hanya digunakan untuk menyimpan gambar, dokumen, atau aset upload lainnya.

Segera Perbarui Plugin ke Versi 2.0.3.2 atau Lebih Baru

Langkah utama untuk mengatasi CVE-2026-27540 adalah memperbarui WooCommerce Wholesale Lead Capture ke versi 2.0.3.2 atau yang lebih baru.

Administrator juga disarankan menggunakan WAF untuk memblokir pola eksploitasi yang diketahui dan mempertimbangkan pemblokiran alamat IP yang telah diidentifikasi sebagai sumber serangan oleh Wordfence.

Namun, melakukan update saja belum tentu cukup apabila situs sudah berhasil dikompromikan.

Jika ditemukan webshell, akun administrator asing, atau indikator kompromi lainnya, situs perlu diperlakukan sebagai sistem yang telah disusupi.

Jika Sudah Terinfeksi, Pulihkan dari Backup Bersih

Wordfence merekomendasikan pemulihan website dari backup yang aman apabila kompromi telah dikonfirmasi.

Menghapus satu file PHP mencurigakan belum tentu membersihkan seluruh akses yang telah dibuat penyerang. Hacker dapat meninggalkan beberapa mekanisme persistence, akun tambahan, backdoor, maupun payload lain di lokasi berbeda.

Karena itu, proses pemulihan perlu mencakup pemeriksaan menyeluruh terhadap file website, database, akun administrator, konfigurasi WordPress, serta log server.

Backup yang digunakan juga harus dipastikan berasal dari kondisi sebelum kompromi dan tidak mengandung backdoor.

Dengan lebih dari 100.000 percobaan eksploitasi yang telah diblokir Wordfence, CVE-2026-27540 menjadi pengingat bahwa plugin WordPress yang sudah memiliki patch keamanan tidak boleh dibiarkan menggunakan versi lama.

Administrator yang menggunakan WooCommerce Wholesale Lead Capture sebaiknya segera memastikan versi plugin dan memeriksa apakah terdapat indikasi eksploitasi pada situs mereka.

Sumber: Wordfence