KAMPAR, Pengguna WordPress perlu meningkatkan kewaspadaan setelah ditemukannya kerentanan keamanan CVE-2026-64638, yang dikenal dalam riset keamanan sebagai XSS2Shell. Kerentanan pada WordPress Core tersebut dikategorikan High Severity dengan skor CVSS v4 sebesar 8,9 dari 10.
Kerentanan ini berupa pre-authentication reflected Cross-Site Scripting (XSS) pada halaman login WordPress. Berdasarkan advisory resmi WordPress, celah tersebut dapat menjadi bagian dari rantai serangan yang berpotensi mengarah pada Remote Code Execution (RCE) dalam kondisi tertentu.
Berdampak pada Banyak Versi WordPress
Advisory keamanan WordPress mencatat bahwa kerentanan ini memengaruhi berbagai versi WordPress, mulai dari cabang 4.7 hingga seri terbaru sebelum pembaruan keamanan dirilis.
Untuk WordPress 7.0, versi yang terdampak adalah 7.0.0 hingga 7.0.2, sedangkan versi yang telah diperbaiki adalah 7.0.3. Perbaikan keamanan juga telah di-backport ke sejumlah versi lama yang masih mendapatkan dukungan, termasuk WordPress 6.9.6, 6.8.7, 6.7.6 dan sejumlah versi sebelumnya.
Peneliti dari PWN.AI yang mengungkap rantai serangan tersebut menyebut XSS2Shell sebagai rantai eksploitasi dari XSS sebelum autentikasi menuju RCE. PWN.AI melaporkan bahwa WordPress telah mengonfirmasi masalah tersebut dan merilis pembaruan darurat pada WordPress 7.0.3.
Bagaimana Risiko Serangannya?
Secara umum, kerentanan berawal dari halaman login WordPress. Penelitian PWN.AI menunjukkan adanya perbedaan cara dua mekanisme sanitasi WordPress memproses input tertentu. Kondisi tersebut dapat memungkinkan elemen HTML tertentu lolos dari proses awal dan kemudian diproses kembali sebagai elemen HTML oleh mekanisme berikutnya.
Rantai tersebut kemudian dapat dimanfaatkan untuk mencapai eksekusi JavaScript pada konteks WordPress. Dalam skenario tertentu, penyerang dapat melanjutkan serangan dengan memanfaatkan sesi administrator untuk mencapai eksekusi kode PHP di server.
Namun, terdapat hal penting yang perlu diperhatikan. Advisory resmi WordPress menyebut eskalasi menuju RCE membutuhkan social engineering dan interaksi aktif dari korban. Dengan demikian, risiko RCE tidak berarti setiap instalasi WordPress yang rentan otomatis dapat diambil alih hanya dengan satu permintaan tanpa interaksi pengguna.
Segera Periksa Versi WordPress
Pemilik dan administrator website WordPress disarankan segera memeriksa versi CMS yang digunakan. Pemeriksaan dapat dilakukan melalui dashboard WordPress maupun dengan alat pemeriksaan keamanan yang tersedia.
PWN.AI juga menyediakan XSS2Shell Checker untuk membantu memeriksa apakah instalasi WordPress berpotensi terdampak.
Jika WordPress masih menggunakan versi yang rentan tetapi belum menunjukkan indikasi kompromi, administrator disarankan melakukan pencadangan terlebih dahulu sebelum melakukan pembaruan.
Backup sebaiknya mencakup file WordPress dan database, sehingga administrator memiliki titik pemulihan apabila terjadi masalah selama proses pembaruan.
Gunakan Versi yang Sudah Mendapat Security Patch
Langkah mitigasi utama adalah memperbarui WordPress Core ke versi yang telah mendapatkan perbaikan keamanan.
Untuk seri WordPress 7, pembaruan yang memperbaiki kerentanan ini adalah WordPress 7.0.3. Bagi instalasi yang masih menggunakan cabang versi lama, WordPress juga menyediakan security backport untuk sejumlah cabang yang masih didukung.
Administrator juga perlu memastikan seluruh komponen website, termasuk plugin dan theme, selalu diperbarui. Komponen WordPress sebaiknya diperoleh dari sumber yang terpercaya dan tidak menggunakan perangkat lunak bajakan atau hasil modifikasi dari sumber yang tidak jelas.
Perkuat Akun Administrator
Selain memperbarui CMS, keamanan akun administrator juga perlu diperkuat.
Administrator disarankan menggunakan password yang panjang dan kompleks, membatasi jumlah akun yang memiliki hak administrator, serta mengaktifkan Two Factor Authentication (2FA) atau Multi-Factor Authentication (MFA).
Bagi pengelola website yang membutuhkan panduan penerapan 2FA, ZonaCerdas sebelumnya telah membahas langkah konfigurasi WordPress menggunakan plugin WP 2FA.
Panduan Cara Mengaktifkan 2FA pada WordPress
Jika Website Diduga Sudah Terkompromi
Jika terdapat indikasi bahwa website telah mengalami kompromi, administrator sebaiknya tidak langsung menganggap pembaruan WordPress sebagai satu-satunya langkah penyelesaian.
Pemeriksaan lebih lanjut perlu dilakukan terhadap file, konfigurasi, akun administrator, plugin, theme, serta aktivitas yang mencurigakan. Jika tersedia backup yang dibuat sebelum terjadinya kompromi, pemulihan dari backup yang diketahui bersih dapat menjadi bagian dari proses pemulihan.
Pemeriksaan juga penting dilakukan untuk memastikan tidak terdapat perubahan atau file mencurigakan yang masih tertinggal setelah proses pembaruan.
Jangan Tunda Pembaruan
CVE-2026-64638 menjadi pengingat bahwa keamanan WordPress tidak cukup hanya mengandalkan password. Pembaruan Core, plugin dan theme secara berkala, backup yang teratur, pembatasan akses administrator, serta penerapan 2FA merupakan bagian penting dari pengamanan website.
Dengan adanya WordPress 7.0.3 dan security backport untuk sejumlah cabang lama, administrator memiliki jalur mitigasi yang jelas. Karena itu, pengelola website WordPress sebaiknya segera memeriksa versi yang digunakan dan melakukan pembaruan ke versi yang telah mendapatkan patch keamanan.
Referensi:
The Hacker News – New WordPress Pre-Auth XSS Could Lead to PHP Code Execution
PWN.AI – XSS2Shell: WordPress Preauth XSS to RCE Chain
CVE Record – CVE-2026-64638
WordPress Security Advisory – GHSA-52p2-r8wf-jcrf