Sign in Subscribe
WordPress

WP2Shell: Rantai Eksploitasi Kritis WordPress Core (CVE-2026-63030 & CVE-2026-60137) — Mitigasi & Peningkatan Keamanan 2026

Analisis teknis mendalam WP2Shell (CVE-2026-63030 & CVE-2026-60137) — rantai eksploitasi RCE tanpa autentikasi pada WordPress Core Juli 2026. Termasuk IOC, aturan WAF, hardening database, dan playbook respons insiden untuk pengelola situs Indonesia.

Aziz

— 3 min read
Share
WP2Shell: Rantai Eksploitasi Kritis WordPress Core (CVE-2026-63030 & CVE-2026-60137) — Mitigasi & Peningkatan Keamanan 2

Pada Juli 2026, komunitas keamanan siber digegerkan oleh penemuan rantai eksploitasi WP2Shell yang menargeti inti WordPress (WordPress Core). Kerentanan ini menggabungkan dua CVE berbeda — CVE-2026-63030 (REST API Batch Route Confusion) dan CVE-2026-60137 (SQL Injection pada WP_Query) — untuk mencapai Remote Code Execution (RCE) tanpa autentikasi. Berbeda dengan celah biasa yang memerlukan akses login, WP2Shell memungkinkan penyerang mengeksekusi kode berbahaya di server hanya dengan mengirim permintaan HTTP terstruktur. Dalam artikel ini, kita akan membedah teknis kedua celah, rantai eksploitasinya, indikator kompromi (IOC), serta langkah mitigasi praktis yang wajib diterapkan pengelola situs WordPress di Indonesia.

Anatomi WP2Shell: Dua Celah, Satu Rantai Eksploitasi

WP2Shell bukan kerentanan tunggal melainkan exploit chain yang merangkai dua kelemahan arsitektur WordPress Core:

  • CVE-2026-63030 — REST API Batch Route Confusion. Endpoint batch /wp-json/batch/v1 tidak memvalidasi route dengan benar, memungkinkan penyerang memanipulasi jalur internal dan memanggil fungsi privy WordPress tanpa izin.
  • CVE-2026-60137 — SQL Injection pada WP_Query. Parameter meta_query pada kelas WP_Query tidak membersihkan input dengan benar, memungkinkan injeksi SQL yang dieksekusi dalam konteks database WordPress.

Peneliti Searchlight Cyber pertama kali mengungkap rantai ini. Mekanismenya: penyerang mengirim permintaan batch ke REST API yang memicu WP_Query dengan payload SQL injeksi. Hasilnya, penyerang dapat mengekstrak kredensial database, menyisipkan webshell PHP, dan mengambil alih server penuh — semua tanpa perlu login.

Poin Kritis: Jeda antara pengungkapan celah hingga eksploitasi nyata kini berkurang drastis — dari 24 jam menjadi hitungan jam berkat bantuan AI generatif yang otomatis membuat Proof-of-Concept (PoC). Patchstack telah mendeteksi upaya eksploitasi massal dalam hitungan jam setelah rincian dipublikasikan.

Versi Terdampak & Vektor Serangan Nyata

Berdasarkan laporan Patchstack dan analisis CleanTalk Research, versi WordPress yang rentan:

  • WordPress 6.9.0 – 6.9.4
  • WordPress 7.0.0 – 7.0.1

Vektor serangan yang diamati di lapangan:

POST /wp-json/batch/v1 HTTP/1.1
Host: target-site.com
Content-Type: application/json

{
  "requests": [
    {
      "method": "GET",
      "path": "/wp-json/wp/v2/posts?meta_query[0][key]=test&meta_query[0][value]=(SELECT+SLEEP(5))&meta_query[0][compare]="
    }
  ]
}

Payload di atas memanfaatkan meta_query untuk menginjeksikan fungsi SLEEP() MySQL — indikasi klasik SQL Injection blind. Variasi lanjutan menyisipkan UNION SELECT untuk mengekstrak hash password pengguna admin, lalu menanam webshell via wp_options table.

Indikator Kompromi (IOC) & Deteksi

Jika Anda mengelola server WordPress, periksa IOC berikut segera:

  • Permintaan aneh ke /wp-json/batch/v1 dengan parameter meta_query kompleks dalam log akses Nginx/Apache.
  • File PHP baru di wp-content/uploads/, wp-includes/, atau root direktori dengan nama acak (contoh: x7k9m.php, license-check.php).
  • Penambahan pengguna admin baru yang tidak dikenali di tabel wp_users.
  • Query database mencurigakan di slow query log MySQL/MariaDB mengandung UNION SELECT, INTO OUTFILE, atau LOAD_FILE.

Contoh aturan Suricata/Snort untuk mendeteksi percobaan eksploitasi:

alert http $EXTERNAL_NET any -> $HOME_NET any (
  msg:"WEB-APP WordPress WP2Shell CVE-2026-63030 Exploit Attempt";
  flow:to_server,established;
  http.uri; content:"/wp-json/batch/v1";
  http.client_body; pcre:"/meta_query.*(UNION|SLEEP|SELECT.*INTO|LOAD_FILE)/i";
  classtype:web-application-attack;
  sid:2026001;
  rev:1;
  metadata:cve CVE-2026-63030, CVE-2026-60137;
)

Mitigasi Praktis: Lapisan Perlindungan Bertingkat

Tidak ada satu solusi "silver bullet". Pendekatan defense-in-depth wajib diterapkan:

1. Update Inti WordPress (Prioritas Utama)

WordPress telah merilis pembaruan keamanan:

  • Versi 6.9.5 untuk cabang 6.9.x
  • Versi 7.0.2 untuk cabang 7.0.x

Otomatisasi pembaruan minor via wp-config.php:

define('WP_AUTO_UPDATE_CORE', 'minor');

2. Web Application Firewall (WAF) Aturan Khusus

Blokir permintaan batch mencurigakan di level edge (Cloudflare, Nginx, ModSecurity):

# Nginx snippet - taruh di server block
location = /wp-json/batch/v1 {
    limit_req zone=wp_batch burst=5 nodelay;
    # Blokir meta_query berbahaya
    if ($request_body ~* "meta_query.*(UNION|SLEEP|SELECT.*INTO|LOAD_FILE|INTO.*OUTFILE)") {
        return 403;
    }
    proxy_pass http://php_backend;
}

3. Hardening Database & File System

  • Gunakan user database dengan hak minimal (hanya SELECT, INSERT, UPDATE, DELETE pada database WP — tanpa FILE, CREATE, DROP).
  • Nonaktifkan file_edit dan plugin_install via wp-config.php: 
    define('DISALLOW_FILE_EDIT', true);
define('DISALLOW_FILE_MODS', true);
  • Atur wp-content/uploads non-eksekusi PHP: 
    # .htaccess di wp-content/uploads

    deny from all

4. Monitoring & Response Otomatis

  • Pasang Wordfence, Patchstack, atau Sucuri dengan aturan WP2Shell terbaru.
  • Aktifkan integrity monitoring (Tripwire/AIDE) pada file inti WordPress.
  • Siapkan incident response playbook: isolasi server → analisis log → restore dari backup bersih → rotasi kredensial database & salt WP.

Kesimpulan: Keamanan Proaktif Bukan Pilihan, Tapi Keharusan

WP2Shell mengajarkan pelajaran keras: keamanan WordPress tidak boleh bersandar pada satu lapisan proteksi. Kombinasi pembaruan cepat, WAF yang dikonfigurasi spesifik, hardening database, dan monitoring berkelanjutan adalah standar minimum 2026. Organisasi Indonesia yang mengelola ratusan situs WordPress harus mengadopsi vulnerability management lifecycle otomatis — scanning mingguan, patching dalam 48 jam, dan simulasi insiden bulanan. Ancaman tidak menunggu jadwal patch Anda; aksi mitigasi harus sudah berjalan sebelum PoC publik tersebar.

Read more