WP2Shell: Vulnerabilitas Kritis WordPress Juli 2026 — CVE-2026-60137 & CVE-2026-63030 Dieksploitasi Massal

Indonesia mencatat lonjakan serangan siber mencapai 15 serangan per detik pada paruh kedua 2025, naik 75 persen dibanding periode sebelumnya. Di tengah eskalasi ancaman tersebut, Juli 2026 membawa kabar buruk bagi jutaan pengelola situs WordPress: dua vulnerabilitas kritis yang dijuluki WP2Shell dieksploitasi secara massal oleh peretas global, memungkinkan pengambilalihan penuh situs tanpa memerlukan kredensial login.

Anatomi Serangan WP2Shell: Dua CVE, Satu Rantai Ekploitasi

Peneliti keamanan Searchlight Cyber mengungkap dua celah yang saling melengkapi:

• CVE-2026-60137 — SQL Injection ber tingkat keparahan tinggi (CVSS 8.8), memungkinkan eksekusi query database sembarangan.
• CVE-2026-63030 — Remote Code Execution (RCE) kritis (CVSS 9.8), memungkinkan eksekusi kode sembarangan di server.

Kedua celah mempengaruhi WordPress versi 6.9.0–6.9.4 dan 7.0.0–7.0.1. Vektor serangan tidak memerlukan plugin tambahan, akun pengguna, maupun interaksi korban — cukup mengirim payload terstruktur ke endpoint rentan pada instalasi standar.

Fakta Kritis: Patchstack, Hexastrike, dan WatchTowr mengonfirmasi eksploitasi aktif dalam hitungan jam setelah rincian CVE dipublikasikan. CEO WatchTowr Benjamin Harris memperingatkan: "Dulu eksploitasi muncul 24 jam setelah pengumuman. Kini, berkat AI, proof-of-concept hadir dalam hitungan jam."

Mekanisme Teknis: Bagaimana WP2Shell Bekerja

Serangan dimulai dengan SQL Injection (CVE-2026-60137) untuk mengekstrak informasi struktur database dan menginjeksi payload berbahaya ke tabel wp_options atau wp_users. Payload tersebut kemudian memicu deserialisasi objek PHP yang rentan, membuka jalan bagi RCE (CVE-2026-63030) melalui fungsi unserialize() yang tidak divalidasi dengan benar pada komponen inti WordPress.

// Contoh pola payload SQL Injection (disederhanakan untuk edukasi)
/wp-json/wp/v2/posts?_embed&search=

// RCE via deserialisasi objek PHP
exploit = 'O:8:"WP_Query":2:{s:12:"\0*\0query_vars";a:1:{s:7:"post_id";s:28:"eval(base64_decode(...))";}}'

Hasilnya: penyerang mendapatkan shell penuh dengan hak akses www-data atau apache, memungkinkan modifikasi file wp-config.php, injeksi backdoor PHP, pencurian database, hingga lateral movement ke server lain di jaringan yang sama.

Dampak Nyata di Indonesia

Berdasarkan laporan AwanPintar, kerugian finansial serangan siber di Indonesia mencapai Rp 476 miliar periode November 2024–Januari 2025. Dengan WP2Shell, risiko eskalasi untuk:

• Situs pemerintah & BUMD yang masih menjalankan WordPress versi lama
• E-commerce KMU yang mengandalkan WooCommerce tanpa WAF
• Portal berita & media digital dengan ribuan artikel & data pelanggan

Cloudflare telah menambahkan managed rule baru (ID 100927) untuk memblokir pola eksploitasi WP2Shell di layer edge, namun aturan ini hanya efektif jika zona DNS di-proxy-kan (orange cloud) dan mode Under Attack diaktifkan saat insiden.

Langkah Mitigasi Prioritas (Urutan Wajib)

1. Update Instan — Upgrade ke WordPress 6.9.5 atau 7.0.2 hari ini. Aktifkan auto-update minor: define('WP_AUTO_UPDATE_CORE', 'minor'); di wp-config.php.
2. WAF & Rate Limit — Pasang Cloudflare WAF (Free tier cukup) + atur Rate Limiting Rule 5 req/detik ke /wp-json/ dan /wp-admin/admin-ajax.php.
3. Hardening Tanpa Plugin — Tambahkan di .htaccess (Apache) atau blok server (Nginx):

   # Blok akses XML-RPC & REST API anonim
   
     Require all denied
   
   
   # Batasi wp-json ke IP admin saja
   
     Require ip 203.0.113.0/24  # ganti dengan CIDR kantor
   
   

4. Integrity Monitoring — Pasang wp-cli checksum core harian via cron; bandingkan hash file inti dengan repositori resmi.
5. Backup Off-site Immutable — Gunakan restic atau borg ke bucket S3-compatible (Wasabi, Cloudflare R2) dengan append-only policy.

Roadmap Regulasi: RUU Keamanan & Ketahanan Siber (KKS)

Pemerintah telah mengajukan RUU KKS ke DPR Juni 2026. Undang-undang ini akan mewajibkan:

• Pelaporan insiden ≤ 6 jam ke BSSN
• Penetapan Critical Information Infrastructure (CII) bagi sektor strategis
• Sanksi administratif hingga 2% pendapatan tahunan bagi pelanggar

Admin WordPress di lingkungan CII (perbankan, energi, kesehatan, transportasi) wajib mematuhi standar ISO 27001 dan NIST CSF 2.0 terbaru, termasuk manajemen kerentanan berkelanjutan (continuous vulnerability management).

Kesimpulan

WP2Shell membuktikan bahwa paradigma "pasang plugin keamanan lalu lupa" sudah usang. Di era eksploitasi berkecepatan AI, visibilitas real-time, patching otomatis, dan defense-in-depth di layer jaringan adalah satu-satunya strategi bertahan. Jangan tunggu patch minggu depan — update hari ini, verifikasi checksum, dan pastikan WAF aktif. Keamanan bukan produk, tapi proses berkelanjutan.