wp2shell: Rantai Celah Pre-Auth RCE di Inti WordPress

wp2shell adalah rantai dua celah di inti WordPress (CVE-2026-63030 dan CVE-2026-60137) yang memungkinkan eksekusi kode tanpa login pada WordPress 6.9 dan 7.0, tanpa memerlukan plugin rentan. Patch dirilis 17 Juli 2026, eksploitasi massal tercatat dalam dua hari, dan WordPress memaksa pembaruan otomatis. Pada September, celah inti lain, CVE-2026-87902, juga masuk daftar KEV.

Ringkasan wp2shell

• CVE: CVE-2026-63030 (kekeliruan routing pada endpoint batch REST API) dan CVE-2026-60137 (SQL injection lewat parameter author__not_in pada WP_Query). Menurut Rapid7, tidak satu pun cukup sendirian untuk eksekusi kode tanpa login. Dirangkai, keduanya cukup.
• Versi terdampak: rantai penuh pada WordPress 6.9.0 sampai 6.9.4, 7.0.0 sampai 7.0.1, dan 7.1 beta sebelum Beta 2. SQL injection saja juga ada di 6.8.0 sampai 6.8.5. Versi sebelum 6.8 tidak terdampak.
• Versi perbaikan: 6.9.5, 7.0.2 dan 7.1 Beta 2 untuk keduanya. 6.8.6 memuat perbaikan SQL injection saja.
• Jenis: RCE tanpa autentikasi lewat desinkronisasi routing ditambah SQL injection.
• Skor: di NVD, CVE-2026-63030 bernilai CVSS v3.1 9.8 dan CVE-2026-60137 bernilai 5.9, keduanya dari WPScan. Advisori GitHub menggolongkan rantainya Critical, sedangkan Rapid7 mengutip 7.5 tanpa menyebut penilainya, jadi selalu sebutkan penilai saat mengutip angka.
• Status eksploitasi: keduanya masuk CISA KEV pada 21 Juli 2026 (tenggat federal 24 Juli untuk CVE-2026-63030 dan 4 Agustus untuk CVE-2026-60137), dan PoC publik beredar.

Apa yang terjadi

Adam Kues dari Assetnote / Searchlight Cyber melaporkan celah routing batch REST API, sedangkan SQL injection-nya dilaporkan tim TF1T, dtro dan haongo. WordPress merilis 7.0.2 pada 17 Juli 2026 beserta backport 6.9.5 dan 6.8.6. Menurut pengumuman WordPress 7.0.2, karena tingkat keparahannya WordPress.org mengaktifkan pembaruan paksa melalui sistem auto-update pada situs yang terdampak. Menurut Searchlight, PoC publik muncul dalam hitungan jam karena patch dianalisis balik, dan eksploitasi massal dilaporkan pada 19 Juli, kurang dari dua hari setelah patch. Pada pembaruan 22 Juli, Rapid7 mencatat beberapa PoC publik sudah beredar dan Searchlight telah menerbitkan detail teknis lengkap.

Secara konseptual, kekeliruan pada endpoint batch membuat sebuah request mencapai jalur kode yang seharusnya tidak bisa dijangkau tanpa login, dan di jalur itu SQL injection dapat dimanfaatkan. Rapid7 menjelaskan rantai ini dapat berakhir pada pembuatan akun administrator dan pengunggahan plugin berbahaya sebagai jalan menuju eksekusi kode. Searchlight juga menyatakan penemuan ini dibantu model AI dengan biaya komputasi sekitar 25 dolar AS dan waktu sekitar sepuluh jam. Angka itu adalah klaim Searchlight sendiri dan belum diverifikasi pihak independen.

Kronologi singkat (per 29 Oktober 2026)

• 17 Juli 2026: WordPress 7.0.2 dirilis dengan backport 6.9.5 dan 6.8.6, dan advisori GitHub terbit.
• 19 Juli: kampanye eksploitasi massal dilaporkan.
• 21 Juli: CVE-2026-63030 dan CVE-2026-60137 masuk CISA KEV.
• 22 Juli: Rapid7 mencatat detail teknis lengkap dari Searchlight dan beberapa PoC publik sudah beredar.
• 22 September: WordPress 7.1.2 memperbaiki CVE-2026-87902. CISA menambahkannya ke KEV pada 25 September.

Skala dan dampak yang tercatat

Wiz melaporkan bahwa saat publikasi, 60 persen organisasi pengguna WordPress dalam datanya memiliki setidaknya satu instans rentan dan 25 persen memiliki satu yang terekspos ke internet. Dalam 24 jam angka itu turun menjadi 50 dan 10 persen setelah banyak situs diperbarui. Aktivitas pasca-eksploitasi yang diamati Wiz meliputi pengunggahan plugin berbahaya, web shell, dan pencacahan akun admin. Wiz belum menemukan pergerakan lateral atau pencurian data (laporan Wiz). Belum ada atribusi pelaku yang terkonfirmasi.

Cara memeriksa dan mengamankan situs WordPress

1. Cek versi di setiap situs yang menghadap internet, termasuk situs kampanye, staging, dan blog lama. Pembaruan paksa bisa gagal, dan situs yang menonaktifkan auto-update atau mengunci versi lewat Git atau Composer tidak ikut terbarui. Di dasbor, buka Dashboard lalu Updates.
2. Perbarui ke 6.9.5, 7.0.2 atau rilis perbaikan untuk cabang Anda. Jika masih di 6.8, naik ke 6.8.6 minimal dan rencanakan pindah ke cabang yang didukung, karena WordPress hanya aktif mendukung versi terbaru. Per 29 Oktober 2026, pastikan juga situs sudah memuat perbaikan CVE-2026-87902 (7.1.2 atau rilis keamanan terbaru di cabangnya).
3. Bila belum bisa memperbarui, blokir /wp-json/batch/v1 dan ?rest_route=/batch/v1 di WAF, atau nonaktifkan akses REST API anonim lewat plugin. Ini penahan sementara, bukan pengganti patch.
4. Periksa kompromi setelah patch. Cari plugin yang tidak Anda pasang (terutama yang mendaftarkan rute REST), file PHP baru, akun admin baru, dan request ke endpoint batch di log akses. Wiz menyebut respons HTTP 200 atau 207 pada endpoint batch sebagai indikator berfidelitas relatif tinggi atas eksploitasi yang berhasil.
5. Audit kode kustom yang meneruskan input request langsung ke argumen WP_Query.

Daftar langkah hardening lain ada di cara mengamankan website WordPress. Anda bisa memeriksa situs milik sendiri dengan WPScan, dan memahami peran WAF sebagai lapisan tambahan.

CVE-2026-87902: celah inti WordPress kedua dalam kurang dari tiga bulan

Pada 22 September 2026, WordPress 7.1.2 memperbaiki CVE-2026-87902, celah berseverity Critical menurut WordPress. Pada kondisi tertentu, penyerang tanpa login dapat membuat proses pemilihan template halaman menyertakan file PHP lokal di luar direktori tema aktif, yang bila prasyarat server dan tema terpenuhi dapat berujung pada RCE. Perbaikannya di-backport ke semua cabang yang berhak menerima patch keamanan, hingga 4.7. Kredit penemuan diberikan kepada Robert Ressl, dan situs yang mendukung pembaruan latar belakang diperbarui otomatis (WordPress 7.1.2). CISA memasukkannya ke KEV sebagai "WordPress Core Remote File Inclusion" pada 25 September 2026. NVD mencantumkan CVSS v3.1 8.1 dari CISA-ADP, sementara WordPress menyebutnya critical; perbedaan ini wajar karena RCE bergantung pada prasyarat server dan tema. Pengumuman WordPress tidak menyebut workaround, sehingga pembaruan adalah langkah utama.

Mengapa ini penting di Indonesia

WordPress menjalankan banyak situs UMKM, media, kampus, dan instansi di Indonesia, sering di hosting bersama dengan pembaruan yang bergantung pada penyedia. Dua celah inti dalam satu musim berarti auto-update inti sebaiknya aktif dan dipantau, bukan sekadar diandalkan. Prinsip prioritas patch untuk celah yang sudah dieksploitasi dijelaskan di CISA KEV. Informasi di artikel ini berlaku per 29 Oktober 2026.

Baca juga: Celah WinRAR CVE-2025-8088: Arsip Berbahaya yang Dipakai Kelompok APT.

Pertanyaan yang Sering Diajukan

Apakah plugin atau tema saya perlu rentan agar terkena wp2shell?

Tidak. Kedua celah ada di inti WordPress, yaitu endpoint batch REST API dan WP_Query, sehingga tidak dibutuhkan plugin atau tema yang rentan. Rapid7 mengutip Cloudflare bahwa jalur rentan dapat dijangkau ketika situs tidak memakai persistent object cache.

Situs saya sudah auto-update. Apakah masih perlu dicek?

Ya. Pembaruan paksa bisa gagal atau tertunda. Konfirmasi nomor versi, lalu periksa tanda kompromi karena patch tidak menghapus backdoor yang sempat terpasang.

Apakah WordPress.com atau hosting terkelola terdampak?

Itu bergantung pada penyedia. Tanyakan apakah inti sudah diperbarui dan sejak kapan.

Kesimpulan

wp2shell dan CVE-2026-87902 menunjukkan bahwa inti CMS pun bisa menjadi pintu masuk, dan jendela patch bisa hanya dua hari. Pastikan setiap situs memakai versi perbaikan, pantau auto-update, dan periksa tanda kompromi. Jika Anda mengelola banyak situs dan butuh bantuan menilai paparannya, Linuxhackingid menyediakan asesmen keamanan lewat halaman layanan kami.