Identitas kerentanan

wp2shell bukan satu bug tunggal, melainkan rantai yang menggabungkan dua kerentanan :

• CVE-2026-63030 — Masalah kebingungan rute (route confusion) pada endpoint batch REST API. Kerentanan ini dikategorikan kritis, dengan skor CVSS yang kemudian dilaporkan sebesar 9,8 .
• CVE-2026-60137 — SQL injection tanpa autentikasi pada parameter author__not_in milik WP_Query. Celah ini dikategorikan memiliki tingkat keparahan tinggi .

Laporan awal dari salah satu sumber mencantumkan skor 7,5 untuk CVE-2026-63030, tetapi sejumlah penyedia keamanan kemudian merevisinya menjadi 9,8 .

Versi WordPress yang terdampak

• WordPress 6.9.x: versi 6.9.0 hingga 6.9.4
• WordPress 7.0.x: versi 7.0.0 dan 7.0.1
• WordPress 6.8.x: perbaikannya tersedia di versi 6.8.6

Versi yang telah ditambal adalah 6.9.5, 7.0.2, dan 6.8.6 untuk masing-masing cabang yang relevan.

Bagaimana wp2shell bekerja?

Serangan ini memanfaatkan dua kelemahan yang dapat dirangkai .

1. SQL injection pada author__not_in

   Melalui permintaan HTTP yang telah dimodifikasi, penyerang dapat menyisipkan perintah SQL berbahaya ke basis data WordPress tanpa kredensial login.

2. Kebingungan rute pada REST API batch

   Endpoint /wp-json/batch/v1 memungkinkan beberapa subpermintaan diproses dalam satu panggilan. Kesalahan saat memproses rute dapat membuat struktur internal tidak lagi sinkron. Akibatnya, pembatasan rute dapat dilewati dan penyerang bisa merangkai panggilan API internal yang seharusnya tidak diizinkan .

Ketika kedua celah tersebut digunakan bersama, penyerang dapat memanfaatkan endpoint batch untuk mengakses SQL injection, lalu meningkatkannya menjadi eksekusi kode jarak jauh penuh. Jalur eskalasinya antara lain dengan:

• Menulis data arbitrer, misalnya PHP webshell, ke sistem berkas melalui perintah MySQL INTO OUTFILE; atau
• Memanipulasi opsi WordPress yang dapat menyebabkan kode PHP dijalankan .

Serangan ini tidak memerlukan autentikasi, plugin, maupun konfigurasi khusus dan dapat menyasar instalasi WordPress bawaan . Pada 18 Juli 2026, pemeriksa proof-of-concept (PoC) publik tersedia di wp2shell.com, sementara PoC eksploit yang dapat digunakan juga telah beredar .

Perlu dicatat, penggunaan persistent object cache seperti Redis atau Memcached dapat mengubah atau sebagian membatasi jalur eksploitasi. Namun, teknologi tersebut tidak menghapus kerentanan dasarnya .

Langkah mitigasi yang perlu dilakukan

1. Perbarui WordPress sekarang juga

   Gunakan WordPress 6.9.5, 7.0.2, atau 6.8.6 sesuai cabang versi situs Anda. Situs yang mendukung pembaruan otomatis kemungkinan telah menerima pembaruan paksa, tetapi prosesnya tetap perlu diverifikasi .

2. Periksa versi yang terpasang

   Buka Dashboard → Updates atau periksa berkas wp-includes/version.php.

3. Gunakan perlindungan sementara bila belum bisa memperbarui

   Terapkan virtual patch atau aturan Web Application Firewall (WAF). Cloudflare telah merilis aturan WAF untuk memblokir vektor serangan yang terkait dengan wp2shell .

4. Cari tanda-tanda kompromi

   Periksa berkas tidak dikenal di wp-content/uploads/, akun administrator yang mencurigakan, serta entri basis data yang tidak biasa. Belum ada eksploitasi massal yang terkonfirmasi, tetapi keberadaan PoC publik berarti aktivitas pemindaian kemungkinan telah dimulai.

5. Tinjau hak akses pengguna basis data

   Pastikan pengguna basis data WordPress tidak memiliki hak istimewa FILE, yang memungkinkan penggunaan INTO OUTFILE. Pembatasan ini dapat mengurangi salah satu jalur eskalasi menuju RCE.

Mengapa sifat open source WordPress memperbesar risikonya?

Belum adanya eksploitasi yang terkonfirmasi secara luas bukan berarti risikonya rendah. Pada perangkat lunak open source seperti WordPress, kode sumber yang telah diperbaiki dapat dibandingkan langsung dengan versi sebelumnya. Situasi ini menciptakan beberapa risiko khusus:

• Jalur serangan lebih mudah direkayasa balik — Siapa pun dapat mengunduh versi yang telah ditambal, membandingkan perubahan kode, dan menelusuri jalur eksploitasi dalam waktu singkat. Penyedia keamanan menyatakan bahwa perbandingan kode dapat segera menunjukkan bagian yang rentan .
• Waktu bagi administrator semakin sempit — Dalam perangkat lunak proprietari, penyerang biasanya perlu melakukan riset sendiri untuk menemukan mekanisme celah. Pada proyek open source, pembaruan yang memperbaiki bug juga dapat menjadi petunjuk teknis bagi pihak yang ingin mengeksploitasinya.
• Permukaan serangan sangat besar — WordPress digunakan oleh sekitar 43% situs web. Jutaan instalasi dikelola dengan tingkat kesiapan keamanan yang berbeda-beda. Situs yang terbengkalai, menggunakan versi PHP lama, atau tidak mengaktifkan pembaruan otomatis dapat menjadi sasaran mudah setelah kode eksploit tersedia .
• Hambatan untuk membuat senjata siber relatif rendah — Pemeriksa PoC dan kode eksploit dilaporkan terbit dalam waktu 24 jam setelah patch dirilis . Penyerang dengan kemampuan menengah dapat mengadaptasinya untuk pemindaian massal.
• Tidak ada penghalang autentikasi — Rantai serangan ini bekerja sebelum proses login dan menyasar instalasi WordPress standar. Penyerang tidak membutuhkan kredensial, plugin rentan, atau konfigurasi khusus .

Singkatnya, pada kasus wp2shell, patch dapat menjadi petunjuk terperinci tentang kerentanan yang baru ditutup. Jika digabungkan dengan jumlah instalasi WordPress yang sangat besar dan tidak semuanya terawat, kondisi ini menciptakan periode berisiko tinggi—bahkan sebelum eksploitasi resmi terdeteksi di lapangan.

Identitas kerentanan

wp2shell bukan satu bug tunggal, melainkan rantai yang menggabungkan dua kerentanan :

• CVE-2026-63030 — Masalah kebingungan rute (route confusion) pada endpoint batch REST API. Kerentanan ini dikategorikan kritis, dengan skor CVSS yang kemudian dilaporkan sebesar 9,8 .
• CVE-2026-60137 — SQL injection tanpa autentikasi pada parameter author__not_in milik WP_Query. Celah ini dikategorikan memiliki tingkat keparahan tinggi .

Laporan awal dari salah satu sumber mencantumkan skor 7,5 untuk CVE-2026-63030, tetapi sejumlah penyedia keamanan kemudian merevisinya menjadi 9,8 .

Versi WordPress yang terdampak

• WordPress 6.9.x: versi 6.9.0 hingga 6.9.4
• WordPress 7.0.x: versi 7.0.0 dan 7.0.1
• WordPress 6.8.x: perbaikannya tersedia di versi 6.8.6

Versi yang telah ditambal adalah 6.9.5, 7.0.2, dan 6.8.6 untuk masing-masing cabang yang relevan.

Bagaimana wp2shell bekerja?

Serangan ini memanfaatkan dua kelemahan yang dapat dirangkai .

1. SQL injection pada author__not_in

   Melalui permintaan HTTP yang telah dimodifikasi, penyerang dapat menyisipkan perintah SQL berbahaya ke basis data WordPress tanpa kredensial login.

2. Kebingungan rute pada REST API batch

   Endpoint /wp-json/batch/v1 memungkinkan beberapa subpermintaan diproses dalam satu panggilan. Kesalahan saat memproses rute dapat membuat struktur internal tidak lagi sinkron. Akibatnya, pembatasan rute dapat dilewati dan penyerang bisa merangkai panggilan API internal yang seharusnya tidak diizinkan .

Ketika kedua celah tersebut digunakan bersama, penyerang dapat memanfaatkan endpoint batch untuk mengakses SQL injection, lalu meningkatkannya menjadi eksekusi kode jarak jauh penuh. Jalur eskalasinya antara lain dengan:

• Menulis data arbitrer, misalnya PHP webshell, ke sistem berkas melalui perintah MySQL INTO OUTFILE; atau
• Memanipulasi opsi WordPress yang dapat menyebabkan kode PHP dijalankan .

Serangan ini tidak memerlukan autentikasi, plugin, maupun konfigurasi khusus dan dapat menyasar instalasi WordPress bawaan . Pada 18 Juli 2026, pemeriksa proof-of-concept (PoC) publik tersedia di wp2shell.com, sementara PoC eksploit yang dapat digunakan juga telah beredar .

Perlu dicatat, penggunaan persistent object cache seperti Redis atau Memcached dapat mengubah atau sebagian membatasi jalur eksploitasi. Namun, teknologi tersebut tidak menghapus kerentanan dasarnya .

Langkah mitigasi yang perlu dilakukan

1. Perbarui WordPress sekarang juga

   Gunakan WordPress 6.9.5, 7.0.2, atau 6.8.6 sesuai cabang versi situs Anda. Situs yang mendukung pembaruan otomatis kemungkinan telah menerima pembaruan paksa, tetapi prosesnya tetap perlu diverifikasi .

2. Periksa versi yang terpasang

   Buka Dashboard → Updates atau periksa berkas wp-includes/version.php.

3. Gunakan perlindungan sementara bila belum bisa memperbarui

   Terapkan virtual patch atau aturan Web Application Firewall (WAF). Cloudflare telah merilis aturan WAF untuk memblokir vektor serangan yang terkait dengan wp2shell .

4. Cari tanda-tanda kompromi

   Periksa berkas tidak dikenal di wp-content/uploads/, akun administrator yang mencurigakan, serta entri basis data yang tidak biasa. Belum ada eksploitasi massal yang terkonfirmasi, tetapi keberadaan PoC publik berarti aktivitas pemindaian kemungkinan telah dimulai.

5. Tinjau hak akses pengguna basis data

   Pastikan pengguna basis data WordPress tidak memiliki hak istimewa FILE, yang memungkinkan penggunaan INTO OUTFILE. Pembatasan ini dapat mengurangi salah satu jalur eskalasi menuju RCE.

Mengapa sifat open source WordPress memperbesar risikonya?

Belum adanya eksploitasi yang terkonfirmasi secara luas bukan berarti risikonya rendah. Pada perangkat lunak open source seperti WordPress, kode sumber yang telah diperbaiki dapat dibandingkan langsung dengan versi sebelumnya. Situasi ini menciptakan beberapa risiko khusus:

• Jalur serangan lebih mudah direkayasa balik — Siapa pun dapat mengunduh versi yang telah ditambal, membandingkan perubahan kode, dan menelusuri jalur eksploitasi dalam waktu singkat. Penyedia keamanan menyatakan bahwa perbandingan kode dapat segera menunjukkan bagian yang rentan .
• Waktu bagi administrator semakin sempit — Dalam perangkat lunak proprietari, penyerang biasanya perlu melakukan riset sendiri untuk menemukan mekanisme celah. Pada proyek open source, pembaruan yang memperbaiki bug juga dapat menjadi petunjuk teknis bagi pihak yang ingin mengeksploitasinya.
• Permukaan serangan sangat besar — WordPress digunakan oleh sekitar 43% situs web. Jutaan instalasi dikelola dengan tingkat kesiapan keamanan yang berbeda-beda. Situs yang terbengkalai, menggunakan versi PHP lama, atau tidak mengaktifkan pembaruan otomatis dapat menjadi sasaran mudah setelah kode eksploit tersedia .
• Hambatan untuk membuat senjata siber relatif rendah — Pemeriksa PoC dan kode eksploit dilaporkan terbit dalam waktu 24 jam setelah patch dirilis . Penyerang dengan kemampuan menengah dapat mengadaptasinya untuk pemindaian massal.
• Tidak ada penghalang autentikasi — Rantai serangan ini bekerja sebelum proses login dan menyasar instalasi WordPress standar. Penyerang tidak membutuhkan kredensial, plugin rentan, atau konfigurasi khusus .

Singkatnya, pada kasus wp2shell, patch dapat menjadi petunjuk terperinci tentang kerentanan yang baru ditutup. Jika digabungkan dengan jumlah instalasi WordPress yang sangat besar dan tidak semuanya terawat, kondisi ini menciptakan periode berisiko tinggi—bahkan sebelum eksploitasi resmi terdeteksi di lapangan.