Hanya Modal $25 dan AI, Kerentanan WordPress wp2shell Ancam Jutaan Website Tanpa Login!

Dunia keamanan siber global kembali diguncang oleh temuan spektakuler sekaligus mengerikan. Sebuah rantai serangan celah keamanan tingkat tinggi (Critical Zero-Day) baru saja ditemukan pada sistem inti (core) WordPress. Celah yang dinamai wp2shell ini memungkinkan peretas mengambil alih kendali penuh atas sebuah website secara anonim tanpa perlu login, tanpa interaksi pemilik situs, dan tanpa bergantung pada plugin pihak ketiga mana pun.

Menariknya, berdasarkan laporan riset keamanan terbaru dari tim Searchlight Cyber, pembuatan eksploit kompleks berlayar tinggi ini tidak memakan waktu berbulan-bulan oleh tim peretas elit. Eksploitasi ini berhasil dirancang hanya dalam waktu 10 jam dengan bantuan model AI generatif terkini (GPT-5.6 Sol Ultra) dan hanya menghabiskan biaya token API sebesar 25 Dolar AS (sekitar Rp400 ribu).

Anatomi Teknis wp2shell: Kombinasi Dua Celah Mematikan di WordPress Core

Sebagaimana disadur dari analisis mendalam Cybernews dan dokumen intelijen ancaman siber, serangan kerentanan WordPress wp2shell ini bekerja dengan menggabungkan dua celah keamanan utama pada kode pustaka bawaan WordPress (WordPress Core):

• CVE-2026-63030 (REST API Batch-Route Confusion): Celah kerancuan rute pada titik akhir (endpoint) batch REST API yang telah ada sejak pembaruan arsitektur REST. Kerentanan ini memungkingkan permintaan HTTP anonim memintas mekanisme pemeriksaan hak akses (authentication bypass).
• CVE-2026-60137 (SQL Injection pada WP_Query): Bug sanitasi data yang tidak sempurna pada fungsi internal WP_Query, khususnya saat memproses parameter author__not_in. Celah ini memungkinkan peretas menyisipkan kueri SQL jahat langsung ke dalam basis data.

Ketika kedua celah ini dirangkaikan dalam satu gelombang serangan, peretas dapat mengeksekusi perintah kode jarak jauh (Remote Code Execution / RCE) pada server yang menampung situs WordPress. Peneliti keamanan mencatat bahwa rantai exploit ini mengeksploitasi logika pemrosesan memori internal seperti oEmbed cache rows, changeset kustomisasi tema, hingga penanganan siklus post-parent untuk menyuntikkan kode berbahaya secara instan.

Peran Kecerdasan Buatan: Lompatan Kuantum Eksploitasi Siber

Seperti dipaparkan oleh peneliti keamanan Adam Kues dari Searchlight Cyber, penemuan rantai celah ini menjadi bukti nyata bagaimana teknologi kecerdasan buatan mengubah lanskap cybersecurity secara drastis. Di pasar gelap (dark web), rantai eksploitasi RCE pada sistem inti WordPress yang belum ditambal biasanya dihargai hingga $500.000 (sekitar Rp8 miliar).

Namun, dengan memanfaatkan model AI canggih untuk menganalisis log kode dan merancang payload yang kompleks, proses yang sebelumnya membutuhkan waktu berminggu-minggu kini bisa diselesaikan hanya dalam hitungan jam. “Tanpa bantuan AI, hampir tidak mungkin peneliti keamanan manapun mampu menyelesaikan rantai exploit RCE sekompleks ini hanya dalam waktu 10 jam,” tegas Kues dalam catatan risetnya.

“Begitu detail kerentanan dipublikasikan, mereproduksi eksploit dengan bantuan model AI garis depan hanyalah masalah waktu dan ketersediaan token,” tulis riset tersebut.

Dampak Nyata di Lapangan: Gelombang Peretasan Massal dan Backdoor Gaib

Disadur dari pemantauan lalu lintas siber oleh KEVIntel dan watchTowr, eksploitasi kerentanan WordPress wp2shell kini telah meluas secara agresif di internet. Para pelaku kejahatan siber menggunakan skrip otomatisasi untuk memindai jutaan domain WordPress di seluruh dunia secara masif.

Laporan dari peneliti di lapangan mengonfirmasi bahwa peretas telah berhasil menyusup ke ribuan situs dan membuat lebih dari 100 akun administrator siluman (backdoor admin accounts). Setelah berhasil masuk, pelaku menginstal plugin palsu dan menyuntikkan malware pemetik data (information stealer) seperti StealC untuk mencuri kredensial pengguna, data transaksi, dan basis data sensitif.

Versi WordPress yang Terdampak:

• WordPress Versi 6.9.0 hingga 6.9.4: Terdampak penuh oleh rantai RCE wp2shell.
• WordPress Versi 7.0.0 hingga 7.0.1: Terdampak penuh oleh rantai RCE wp2shell.
• WordPress Versi 6.8.0 hingga 6.8.5: Hanya terdampak bug SQL Injection (CVE-2026-60137).

Langkah Penyelamatan Cepat untuk Webmaster dan Pemilik Situs

Berdasarkan instruksi resmi dari tim keamanan WordPress dan pakar siber global, seluruh pengelola situs web berbasis WordPress diimbau untuk segera mengambil langkah-langkah mitigasi darurat berikut:

1. Perbarui WordPress Core Sekarang Juga: Pastikan versi WordPress Anda telah diperbarui ke versi aman terbaru, yaitu WordPress 6.9.5 atau WordPress 7.0.2 (atau versi 6.8.6 untuk cabang 6.8). Meskipun WordPress telah merilis forced auto-update, Anda wajib mengonfirmasi secara manual melalui dasbor admin.
2. Periksa Pengguna Admin Baru: Segera audit daftar akun di menu Users > All Users. Hapus akun administrator yang tidak Anda kenal atau dicurigai buatan peretas.
3. Gunakan Web Application Firewall (WAF): Pastikan layanan perlindungan WAF (seperti Cloudflare atau Sucuri) Anda aktif untuk memblokir pola permintaan payload batch API yang mencurigakan.
4. Mitigasi Darurat (Jika Belum Bisa Update): Blokir akses anonim ke endpoint REST API /batch/v1 pada level server atau gunakan plugin pengaman rute API sementara.

Kesimpulan Redaksi lidahtekno.com

Ancaman kerentanan WordPress wp2shell adalah alarm keras bagi ekosistem web global. Kehadiran AI tidak hanya membantu pengembang mempercepat pembuatan aplikasi, tetapi juga memberikan senjata super sensitif bagi peretas untuk menemukan celah dalam hitungan jam. Mengabaikan pembaruan sistem saat ini sama saja dengan membiarkan pintu rumah terbuka lebar di tengah badai.