Kamu tidak perlu punya plugin bermasalah. Kamu tidak perlu pakai tema bajakan. Kamu bahkan tidak perlu melakukan kesalahan konfigurasi apapun. Jika situsmu berjalan di WordPress versi 6.9.0 hingga 6.9.4 atau 7.0.0 hingga 7.0.1, penyerang anonim dari belahan dunia manapun bisa mengeksekusi kode di servermu sekarang juga — tanpa login, tanpa akun, tanpa syarat apapun. Inilah wp2shell, kerentanan WordPress yang ditemukan tim riset Searchlight Cyber dan diperkirakan berdampak pada lebih dari 500 juta situs web di seluruh dunia. Di artikel ini, kamu bakal nemuin bagaimana celah ini bekerja secara teknis, mengapa statusnya sudah masuk eksploitasi di dunia nyata, dan langkah mitigasi darurat yang harus kamu jalankan sebelum artikel ini selesai kamu baca.
Celah Keamanan WordPress Core Tanpa Plugin: Kombinasi Dua CVE yang Menghasilkan Bencana
Yang membuat wp2shell berbeda dari kebanyakan kerentanan WordPress yang pernah ada adalah sumbernya: bukan plugin, bukan tema, bukan konfigurasi yang salah. Celah ini bersarang langsung di dalam WordPress Core — sistem inti yang ada di setiap instalasi WordPress standar di seluruh dunia.
wp2shell adalah hasil kombinasi dua kerentanan serius yang jika berdiri sendiri sudah berbahaya, tapi ketika digabungkan menjadi serangan Remote Code Execution WordPress yang sepenuhnya bisa dieksekusi dari jarak jauh tanpa autentikasi apapun.
CVE-2026-63030 adalah celah REST API batch-route confusion yang memengaruhi WordPress versi 6.9 ke atas. CVE-2026-60137 adalah celah SQL Injection WP_Query author__not_in — injeksi SQL pada parameter author__not_in di fungsi WP_Query yang memengaruhi WordPress versi 6.8 ke atas. Ketika kedua celah ini dikombinasikan pada instalasi WordPress 6.9.0–6.9.4 dan 7.0.0–7.0.1, penyerang mendapat kemampuan eksekusi kode penuh dari jarak jauh. Tidak ada celah lain yang perlu ditemukan. Tidak ada komponen tambahan yang perlu dieksploitasi.
Pre-Authentication RCE: Kenapa Eksploitasi wp2shell Tanpa Autentikasi Ini Dikategorikan Ekstrem
Dalam dunia keamanan siber, tidak semua Remote Code Execution diciptakan sama. Yang membuat pre-authentication RCE jauh lebih berbahaya dari RCE biasa adalah tidak adanya barrier masuk yang bisa memperlambat penyerang.
RCE yang membutuhkan autentikasi mengharuskan penyerang punya akun dulu — entah akun yang dicuri, dibeli, atau dibobol. Itu setidaknya membutuhkan satu langkah tambahan, satu titik kontrol yang bisa dimonitor. Eksploitasi wp2shell tanpa autentikasi menghilangkan barrier itu sepenuhnya. Siapapun yang tahu cara menggunakan exploit ini bisa langsung menyerang tanpa perlu identitas apapun di situs target.
Kombinasinya dengan fakta bahwa celah keamanan WordPress core tanpa plugin ini ada di instalasi standar — bukan hanya di konfigurasi khusus atau dengan plugin tertentu — berarti setiap instalasi WordPress pada versi yang terdampak adalah target potensial. Risiko peretasan situs berita dan toko online yang mengandalkan WordPress menjadi sangat nyata: tidak ada yang perlu dilakukan penyerang selain menemukan situs yang belum diperbarui.
Eksploitasi RCE WordPress di Dunia Nyata: Kode Publik Sudah Tersedia, Serangan Sudah Terdeteksi
Ini bukan proof-of-concept yang tersimpan di lab penelitian. Ini bukan kerentanan yang "mungkin suatu saat" akan dieksploitasi. Status eksploitasi RCE WordPress di dunia nyata sudah terkonfirmasi: kode eksploitasi publik sudah tersedia dan serangan aktif sudah terdeteksi.
Apa artinya ini secara praktis? Artinya threshold teknis untuk melancarkan serangan ini sudah sangat rendah. Seseorang yang bahkan bukan hacker berpengalaman bisa menggunakan exploit yang sudah tersedia untuk menyerang situs WordPress yang belum diperbarui. Ini bukan lagi domain eksklusif kelompok APT atau peretas terorganisir.
500 juta situs web terdampak kerentanan WordPress adalah angka yang lahir dari satu fakta sederhana: WordPress menggerakkan lebih dari 43% situs web di internet. Ketika kerentanan ada di Core — bukan di komponen opsional — setiap instalasi yang belum diperbarui masuk dalam perkiraan angka itu. Setiap hari penundaan adalah hari di mana situsmu tetap ada dalam daftar target yang bisa diserang.
Blokir Akses wp-json batch v1 dan Pasang WAF: Mitigasi Darurat Sebelum Patch Bisa Dijalankan
Idealnya, satu-satunya mitigasi yang benar-benar menyelesaikan masalah adalah update. Tapi jika karena alasan teknis atau operasional kamu belum bisa langsung melakukan cara update WordPress ke versi 6.9.5 dan 7.0.2 sekarang juga, ada langkah pertahanan sementara yang wajib dijalankan segera.
Langkah pertama yang paling kritis: blokir akses wp-json batch v1 — segera nonaktifkan atau batasi akses ke endpoint wp-json/batch/v1 jika endpoint tersebut tidak digunakan. Ini memotong salah satu jalur eksploitasi utama yang digunakan CVE-2026-63030. Jika tidak memungkinkan untuk memblokir sepenuhnya, batasi akses wp-json agar hanya bisa dibuka dari alamat IP yang terpercaya.
Langkah kedua: aktifkan Web Application Firewall untuk WordPress seperti Cloudflare untuk menyaring lalu lintas berbahaya sebelum mencapai aplikasimu. WAF tidak menggantikan patch, tapi ia memberikan lapisan pertahanan tambahan yang bisa mendeteksi dan memblokir pola serangan yang sudah dikenal.
Ketiga, aktifkan pembaruan otomatis patch keamanan WordPress sekarang juga — bukan hanya untuk menangani wp2shell, tapi untuk memastikan kerentanan serupa di masa mendatang tidak memberimu jendela eksposur yang tidak perlu.
Update Sekarang atau Terima Konsekuensinya: Panduan Tindakan yang Tidak Bisa Ditunda
Tidak ada cara yang lebih lembut untuk menyampaikan ini: jika situsmu masih berjalan di WordPress 6.9.0–6.9.4 atau 7.0.0–7.0.1 dan kamu membaca ini, kamu sedang berada dalam kondisi darurat keamanan yang nyata.
Mitigasi darurat kerentanan WordPress dimulai dari satu langkah: buka dashboard WordPress kamu sekarang dan perbarui ke versi 6.9.5 atau 7.0.2. Setelah update selesai, aktifkan pembaruan otomatis untuk patch keamanan, pasang WAF jika belum ada, dan mulai jalankan pemantauan log aktivitas mencurigakan situs untuk mendeteksi apakah ada upaya eksploitasi yang sudah terjadi sebelum kamu membaca ini — termasuk pola akses tidak wajar ke endpoint wp-json/batch/v1 yang menjadi jalur utama serangan ini. Satu klik update hari ini bisa menjadi perbedaan antara situs yang tetap berjalan normal dan situs yang besok pagi sudah dikuasai penyerang anonim yang bahkan tidak perlu tahu nama domainmu untuk memulai serangan.
