Pengantar

WordPress kembali menjadi perhatian setelah peneliti keamanan menemukan sebuah kerentanan yang dijuluki Click2Shell. Kerentanan ini menarik karena serangan dapat dimulai hanya dari sebuah link yang dibuat secara khusus.

Dalam kondisi tertentu, link tersebut dapat membuat administrator WordPress yang sedang login secara tidak sengaja memicu proses instalasi dan preview sebuah theme. Jika teknik ini digabungkan dengan kerentanan lain pada theme, serangan dapat berkembang menjadi Remote Code Execution (RCE).

Artinya, penyerang berpotensi menjalankan kode tertentu di server yang menjalankan website WordPress.

Apa Itu Click2Shell?

Click2Shell merupakan nama yang diberikan peneliti dari pwn.ai terhadap teknik serangan yang memanfaatkan cara WordPress memproses URL dan permintaan instalasi theme.

Secara sederhana, alurnya dapat digambarkan seperti ini:

Administrator login → membuka link berbahaya → WordPress memproses URL → theme dipasang → theme dipreview → kerentanan lain dieksploitasi → code execution

Hal penting yang perlu dipahami adalah Click2Shell sendiri tidak secara otomatis memberikan akses RCE.

Serangan menjadi lebih berbahaya ketika kerentanan tersebut digabungkan dengan kelemahan lain pada sebuah theme.

Bagaimana Click2Shell Bekerja?

Serangan memanfaatkan perbedaan cara beberapa bagian WordPress menangani URL.

Penyerang dapat membuat URL tertentu yang ketika dibuka oleh administrator yang sudah login dapat menyebabkan JavaScript pada WordPress mengarahkan pengguna ke proses instalasi theme.

Karena administrator sudah memiliki session yang valid, WordPress dapat menganggap permintaan tersebut sebagai aktivitas yang dilakukan oleh pengguna yang memiliki hak administrator.

Dalam kondisi tertentu, theme kemudian dapat terinstal dan digunakan dalam proses preview.

Inilah bagian penting dari serangan.

Administrator mungkin tidak merasa sedang melakukan instalasi theme, tetapi browsernya dapat memicu proses tersebut ketika membuka link yang telah dimanipulasi.

Mengapa Administrator Menjadi Target Penting?

Administrator memiliki hak akses yang sangat tinggi di WordPress.

Seorang administrator pada umumnya dapat:

• Menginstal plugin.
• Menginstal theme.
• Mengubah konfigurasi website.
• Mengubah atau membuat konten.
• Mengelola pengguna.
• Mengubah file tertentu melalui fitur WordPress.
• Melakukan berbagai aktivitas administratif lainnya.

Karena itu, jika browser administrator berhasil dipengaruhi oleh link berbahaya, dampaknya dapat jauh lebih besar dibandingkan serangan terhadap pengguna biasa.

Serangan seperti ini juga menunjukkan pentingnya social engineering.

Penyerang tidak selalu harus mencuri password administrator. Mereka dapat mencoba membuat administrator membuka sebuah link tertentu.

Theme yang Dipasang Tidak Harus Langsung Aktif

Salah satu hal menarik dari serangan Click2Shell adalah theme yang dipasang tidak harus langsung menjadi theme utama website.

Theme dapat berada dalam kondisi inactive.

Bagi administrator, website mungkin tetap terlihat normal.

Namun, theme tersebut dapat digunakan dalam proses preview. Pada tahap inilah kode PHP yang terdapat di dalam theme dapat ikut diproses oleh server.

Dengan kata lain, keberadaan theme yang tidak aktif bukan berarti tidak memiliki risiko sama sekali.

Dari Instalasi Theme hingga RCE

Bagian yang membuat Click2Shell menjadi lebih serius adalah kemungkinan menggabungkannya dengan kerentanan lain.

Dalam penelitian yang dipublikasikan oleh pwn.ai, peneliti menggunakan theme Mobile Repair Zone sebagai bagian dari demonstrasi attack chain.

Theme tersebut memiliki kelemahan yang dapat dimanfaatkan untuk mengambil package dari URL tertentu dan menjalankan kode di server.

Jika kelemahan tersebut digabungkan dengan Click2Shell, terbentuk sebuah rangkaian serangan:

Click2Shell → Install Theme → Preview Theme → Eksploitasi Theme → Remote Code Execution

Jadi, serangan tidak hanya bergantung pada satu kerentanan.

Ini merupakan contoh vulnerability chaining, yaitu menggabungkan beberapa kelemahan untuk mendapatkan dampak yang lebih besar.

Seberapa Berbahayakah Click2Shell?

Menurut laporan penelitian tersebut, kerentanan utama Click2Shell memiliki tingkat keparahan yang dinilai CVSS 7.1.

Sementara itu, ketika digabungkan dengan kerentanan pada theme dalam attack chain yang didemonstrasikan, tingkat keparahannya dinilai mencapai CVSS 9.6.

Komponen	Keterangan
Click2Shell	Forced theme installation/preview
CVSS Click2Shell	7.1
Attack chain	Dapat berujung pada code execution
CVSS attack chain	9.6
Target utama	Administrator WordPress yang sudah login
CVE	Belum tersedia saat laporan diterbitkan

Angka tersebut merupakan penilaian dari peneliti yang melaporkan kerentanan, sehingga perlu dibedakan dari severity rating resmi yang mungkin diberikan oleh vendor.

WordPress Merilis Security Update

WordPress telah merilis pembaruan keamanan untuk menangani masalah tersebut.

Laporan menyebutkan bahwa kerentanan tersebut berdampak pada berbagai versi WordPress mulai dari 6.0 hingga versi yang belum diperbaiki.

WordPress kemudian merilis versi 7.1.1 pada 17 September 2026 sebagai salah satu security update.

Administrator sebaiknya tidak hanya melihat nomor versi terbaru secara umum, tetapi memastikan branch WordPress yang digunakan telah mendapatkan security update yang sesuai.

Apakah Click2Shell Sudah Digunakan Hacker?

Pada saat laporan tersebut diterbitkan, belum terdapat indikasi bahwa Click2Shell telah digunakan dalam serangan nyata.

Namun, kondisi tersebut bukan berarti administrator dapat mengabaikannya.

Informasi mengenai kerentanan yang telah dipublikasikan dapat membantu peneliti maupun attacker memahami bagaimana serangan bekerja.

Semakin lama sebuah website tidak diperbarui, semakin besar pula peluang administrator menghadapi risiko dari kerentanan yang sudah diketahui publik.

Cara Melindungi Website WordPress

Ada beberapa langkah yang dapat dilakukan administrator WordPress.

1. Segera Update WordPress

Pastikan WordPress menggunakan versi yang sudah mendapatkan security patch.

Jika menggunakan branch lama, periksa apakah terdapat security update untuk branch tersebut.

2. Aktifkan Automatic Security Updates

Automatic security updates dapat membantu mempercepat proses pemasangan patch keamanan.

Namun, administrator tetap perlu melakukan monitoring untuk memastikan update berhasil diterapkan.

3. Gunakan MFA untuk Administrator

Password saja tidak cukup untuk melindungi akun administrator.

Gunakan Multi-Factor Authentication (MFA) jika tersedia.

Dengan MFA, pencurian password saja tidak langsung memberikan akses ke akun.

4. Audit Akun Administrator

Periksa seluruh akun yang memiliki hak administrator.

Hapus akun yang sudah tidak digunakan dan gunakan prinsip least privilege.

Tidak semua pengguna membutuhkan akses administrator.

5. Periksa Theme dan Plugin

Theme dan plugin merupakan bagian penting dari keamanan WordPress.

Hapus theme atau plugin yang tidak digunakan.

Selain itu, hindari menggunakan theme dan plugin dari sumber yang tidak terpercaya.

6. Monitor Instalasi Theme

Administrator dapat memonitor perubahan pada website, termasuk:

• Instalasi theme baru.
• Aktivasi theme.
• Instalasi plugin.
• Perubahan file.
• Perubahan akun administrator.
• Login administrator yang tidak biasa.

Monitoring seperti ini dapat membantu menemukan aktivitas mencurigakan lebih awal.

Apa Pelajaran dari Click2Shell?

Click2Shell memberikan beberapa pelajaran penting bagi administrator WordPress.

Pertama, akun administrator merupakan aset yang sangat penting. Ketika browser administrator berhasil dipengaruhi oleh link berbahaya, dampaknya dapat menjadi serius.

Kedua, sebuah kerentanan tidak selalu harus memiliki dampak besar ketika berdiri sendiri. Dua kerentanan dengan dampak berbeda dapat digabungkan menjadi sebuah attack chain yang jauh lebih berbahaya.

Ketiga, keamanan WordPress bukan hanya masalah password.

Theme, plugin, core WordPress, akun pengguna, browser administrator, dan server semuanya merupakan bagian dari attack surface.

Terakhir, patch management sangat penting. Ketika vendor sudah menyediakan security update, administrator sebaiknya tidak menunda pemasangannya tanpa alasan yang kuat.

Kesimpulan

Click2Shell menunjukkan bagaimana sebuah link yang dibuat secara khusus dapat digunakan untuk memengaruhi administrator WordPress yang sedang login.

Serangan tersebut dapat memaksa proses instalasi dan preview theme. Dalam kondisi tertentu, teknik ini dapat dirangkai dengan kelemahan lain pada theme hingga berpotensi menghasilkan Remote Code Execution (RCE).

Walaupun belum ada indikasi eksploitasi aktif pada saat laporan diterbitkan, administrator WordPress tetap perlu mengambil langkah pencegahan.

Memperbarui WordPress, mengamankan akun administrator dengan MFA, mengaudit theme dan plugin, serta memonitor perubahan pada website merupakan langkah sederhana yang dapat membantu mengurangi risiko.

Jangan menunggu website terkena serangan. Pastikan WordPress, theme, dan plugin yang digunakan selalu mendapatkan security update terbaru.