Pengantar

WordPress merupakan salah satu sistem manajemen konten atau Content Management System (CMS) yang paling banyak digunakan. Mulai dari blog pribadi, portal berita, website perusahaan, toko online, hingga website pemerintahan banyak yang dibangun menggunakan WordPress.

Popularitas tersebut membuat WordPress menjadi salah satu target menarik bagi penyerang. Baru-baru ini, muncul kerentanan serius bernama wp2shell yang ditemukan pada komponen inti atau WordPress Core.

Berbeda dari banyak kasus keamanan WordPress sebelumnya, wp2shell tidak bergantung pada plugin atau tema yang bermasalah. Kerentanan ini berpotensi menyerang instalasi WordPress standar sekalipun. Karena itu, pemilik website perlu memeriksa dan memperbarui sistemnya sesegera mungkin.

Apa Itu wp2shell?

wp2shell adalah nama yang diberikan untuk rangkaian kerentanan pada WordPress Core yang dapat mengarah pada remote code execution (RCE).

Remote code execution adalah kondisi ketika penyerang dapat menjalankan kode atau perintah tertentu dari jarak jauh pada sistem target. Dalam skenario terburuk, kemampuan tersebut dapat digunakan untuk mengambil alih website dan server.

Hal yang membuat wp2shell sangat berbahaya adalah sifatnya yang pre-authentication. Artinya, penyerang tidak harus masuk ke dashboard WordPress atau memiliki akun administrator terlebih dahulu.

Menurut penelitian Searchlight Cyber, serangan dapat dilakukan terhadap instalasi WordPress standar tanpa memerlukan plugin tambahan. Searchlight Cyber

Dengan kata lain, menggunakan sedikit plugin atau bahkan tidak menggunakan plugin sama sekali belum tentu membuat website aman dari kerentanan ini.

Mengapa wp2shell Sangat Berbahaya?

Banyak serangan WordPress biasanya dimulai dengan mencuri password administrator, mengeksploitasi plugin yang sudah lama tidak diperbarui, atau memanfaatkan tema bajakan.

wp2shell berbeda karena kelemahannya terdapat pada WordPress Core. Beberapa alasan yang membuatnya berbahaya antara lain:

• Penyerang tidak memerlukan akun atau password.
• Serangan dapat dilakukan dari internet melalui permintaan HTTP.
• Instalasi WordPress standar dapat terdampak.
• Kerentanan berpotensi digunakan untuk menjalankan kode pada server.
• Proses pencarian target dapat dilakukan secara otomatis.
• WordPress digunakan oleh sangat banyak website di seluruh dunia.

Penyerang dapat menggunakan scanner untuk mencari website dengan versi WordPress yang terdampak. Jika sebuah website ditemukan belum diperbarui, penyerang dapat mencoba mengeksploitasinya secara otomatis.

Inilah alasan mengapa pembaruan keamanan harus dilakukan secepat mungkin. Dalam kasus kerentanan kritis, menunda pembaruan selama beberapa hari saja dapat meningkatkan risiko serangan.

Bagaimana Serangan wp2shell Bekerja?

Secara sederhana, serangan wp2shell memanfaatkan kelemahan dalam pemrosesan permintaan pada WordPress REST API.

REST API adalah fitur yang memungkinkan WordPress berkomunikasi dan bertukar data dengan aplikasi lain. Fitur ini digunakan oleh editor, plugin, aplikasi seluler, dan berbagai integrasi pihak ketiga.

Gambaran umum serangannya adalah sebagai berikut:

1. Penyerang mencari website yang menggunakan versi WordPress terdampak.
2. Penyerang mengirim permintaan tertentu menuju WordPress REST API.
3. Kelemahan dalam pemrosesan batch route dimanfaatkan bersama kerentanan SQL injection.
4. Kedua kelemahan tersebut dirangkai untuk memengaruhi proses di dalam WordPress.
5. Dalam kondisi tertentu, rangkaian serangan dapat berakhir pada eksekusi kode dari jarak jauh.

Detail payload eksploitasi tidak perlu dicoba pada website publik. Pengujian keamanan hanya boleh dilakukan terhadap website milik sendiri atau sistem yang telah memberikan izin secara resmi.

Versi WordPress yang Terdampak

Berdasarkan informasi yang tersedia saat kerentanan ini diumumkan, berikut versi yang perlu mendapatkan perhatian:

Versi WordPress	Dampak	Versi perbaikan
6.8.0–6.8.5	SQL injection	6.8.6
6.9.0–6.9.4	Rangkaian serangan hingga RCE	6.9.5
7.0.0–7.0.1	Rangkaian serangan hingga RCE	7.0.2
7.1 Beta	Versi beta terdampak	7.1 Beta 2

Pengguna WordPress 6.9 disarankan memperbarui sistem setidaknya ke versi 6.9.5. Pengguna WordPress 7.0 sebaiknya memperbarui ke versi 7.0.2 atau versi stabil yang lebih baru.

Sementara itu, pengguna WordPress 6.8 juga perlu memasang versi 6.8.6 untuk mendapatkan perbaikan terhadap kerentanan SQL injection yang terkait. Aikido Security

Informasi versi keamanan dapat terus berubah. Karena itu, pemilik website sebaiknya memeriksa pengumuman resmi WordPress dan memastikan sudah menggunakan versi stabil terbaru.

Apa Dampaknya Jika Website Berhasil Diambil Alih?

Remote code execution bukan sekadar membuat tampilan website berubah. Jika berhasil dieksploitasi, penyerang berpotensi memperoleh akses yang lebih luas terhadap website dan server.

Beberapa kemungkinan dampaknya adalah:

1. Perubahan atau penghapusan konten

Penyerang dapat mengubah artikel, halaman, gambar, atau informasi penting. Dalam beberapa kasus, halaman utama diganti dengan pesan tertentu atau konten propaganda.

2. Penyisipan malware

Website yang telah dikuasai dapat digunakan untuk menyebarkan malware kepada pengunjung. Penyerang juga dapat menambahkan script berbahaya yang bekerja tanpa terlihat pada halaman website.

3. Pencurian data

Jika website menyimpan data pelanggan, email, nomor telepon, alamat, atau informasi transaksi, data tersebut berpotensi dicuri dan disalahgunakan.

4. Penambahan akun administrator

Penyerang dapat mencoba membuat akun administrator baru sebagai jalan masuk cadangan. Akun tersebut mungkin dibuat menggunakan nama yang menyerupai akun resmi agar tidak mudah diketahui.

5. Pengalihan pengunjung

Pengunjung dapat dialihkan menuju halaman phishing, situs perjudian, penipuan investasi, atau website yang menyebarkan malware.

6. Penyalahgunaan server

Server yang telah dikuasai bisa dimanfaatkan untuk mengirim spam, menjalankan phishing, menyerang sistem lain, atau menjadi bagian dari botnet.

7. Kerusakan reputasi dan SEO

Mesin pencari dapat menandai website sebagai berbahaya. Akibatnya, peringkat pencarian menurun dan browser dapat menampilkan peringatan keamanan kepada pengunjung.

Bagi perusahaan, insiden tersebut juga dapat menurunkan kepercayaan pelanggan dan menimbulkan kerugian operasional maupun finansial.

Tanda-Tanda WordPress Mungkin Telah Disusupi

Website yang berhasil diretas tidak selalu langsung menunjukkan perubahan besar. Penyerang terkadang berusaha mempertahankan akses secara diam-diam agar tidak segera terdeteksi.

Beberapa tanda yang perlu diperhatikan antara lain:

• Muncul akun administrator yang tidak dikenal.
• Terdapat file PHP asing di dalam direktori WordPress.
• File WordPress berubah tanpa aktivitas pembaruan.
• Website tiba-tiba mengarahkan pengunjung ke halaman lain.
• Muncul artikel, tautan, atau halaman spam.
• Penggunaan CPU, memori, atau bandwidth meningkat secara tidak wajar.
• Terdapat aktivitas login dari lokasi yang tidak dikenal.
• Plugin keamanan mendeteksi perubahan pada file inti.
• Log server mencatat banyak permintaan mencurigakan ke REST API.
• Website menjadi lambat atau sering tidak dapat diakses.

Tidak semua gejala tersebut selalu berarti website telah diretas. Namun, kemunculannya perlu segera diperiksa.

Cara Memeriksa Apakah WordPress Terdampak

Langkah pertama adalah mengetahui versi WordPress yang sedang digunakan.

Masuk ke dashboard WordPress, kemudian buka:

Dashboard → Updates

Versi WordPress biasanya juga dapat ditemukan pada halaman dashboard utama. Jika memiliki akses ke terminal server dan menggunakan WP-CLI, jalankan:

wp core version

Selanjutnya, periksa apakah versi tersebut termasuk dalam daftar versi yang terdampak.

Searchlight Cyber juga menyediakan pemeriksa di wp2shell.com. Masukkan hanya alamat website milik sendiri atau website yang secara resmi telah memberikan izin untuk diuji.

Namun, jangan hanya bergantung pada hasil scanner. Pemeriksaan versi secara langsung melalui dashboard, WP-CLI, atau panel hosting tetap diperlukan.

Langkah Mitigasi yang Harus Segera Dilakukan

Jika website menggunakan versi yang terdampak, lakukan beberapa langkah berikut.

1. Perbarui WordPress Core

Pembaruan merupakan tindakan paling penting. Masuk ke menu pembaruan WordPress dan pasang versi keamanan terbaru.

Sebelum memperbarui, buat cadangan database dan file website untuk mengurangi risiko kehilangan data jika proses pembaruan mengalami masalah.

Setelah pembaruan selesai, periksa kembali versinya. Jangan hanya berasumsi bahwa pembaruan otomatis telah berjalan dengan baik.

2. Perbarui seluruh komponen website

Selain WordPress Core, perbarui juga:

• Plugin
• Tema
• Versi PHP
• Sistem operasi server
• Web server
• Panel hosting
• Database dan komponen pendukung lainnya

Walaupun wp2shell ditemukan pada WordPress Core, plugin dan tema yang tidak diperbarui tetap dapat menjadi pintu masuk bagi serangan lain.

3. Gunakan Web Application Firewall

Web Application Firewall atau WAF dapat membantu menyaring permintaan berbahaya sebelum mencapai WordPress.

Jika pembaruan belum dapat dilakukan, administrator dapat mempertimbangkan pembatasan sementara terhadap endpoint batch REST API yang terdampak. Namun, tindakan ini bisa mengganggu fungsi aplikasi yang sah dan tidak boleh dianggap sebagai pengganti pembaruan.

4. Aktifkan pemantauan keamanan

Gunakan pemantauan perubahan file, audit login, dan pencatatan aktivitas administrator. Log dari web server, WAF, WordPress, serta sistem operasi juga sebaiknya disimpan dan diperiksa secara rutin.

5. Gunakan autentikasi multifaktor

Autentikasi multifaktor tidak secara langsung menghentikan kerentanan pre-authentication RCE. Namun, fitur ini tetap penting untuk melindungi akun administrator dari pencurian password dan serangan lainnya.

Apa yang Harus Dilakukan Jika Website Sudah Diretas?

Jika terdapat indikasi bahwa website telah disusupi, jangan langsung menghapus seluruh file mencurigakan tanpa melakukan pemeriksaan.

Langkah yang dapat dilakukan meliputi:

1. Isolasi website atau aktifkan mode pemeliharaan.
2. Simpan log dan salinan sistem untuk kebutuhan investigasi.
3. Catat waktu pertama kali gejala ditemukan.
4. Periksa file yang baru dibuat atau dimodifikasi.
5. Periksa daftar pengguna WordPress.
6. Periksa database, cron job, konfigurasi server, dan scheduled task.
7. Cari backdoor atau mekanisme akses tersembunyi.
8. Pulihkan website dari backup yang sudah dipastikan bersih.
9. Perbarui seluruh komponen sebelum website diaktifkan kembali.
10. Ganti seluruh password, API key, token, dan kredensial database.

Password yang perlu diganti tidak hanya password administrator WordPress. Ganti juga password panel hosting, FTP atau SFTP, SSH, database, akun email administrator, serta layanan pihak ketiga yang terhubung.

Jika website menyimpan data pelanggan atau memiliki peran penting bagi organisasi, proses investigasi sebaiknya melibatkan tim keamanan atau digital forensik. Menghapus malware saja belum tentu cukup karena penyerang mungkin telah membuat jalan masuk lain.

Pelajaran Penting bagi Pengelola WordPress

Kasus wp2shell memberikan pelajaran bahwa ancaman keamanan WordPress tidak selalu berasal dari plugin atau tema. WordPress Core sekalipun dapat memiliki kerentanan.

Mengurangi jumlah plugin memang membantu memperkecil permukaan serangan, tetapi tidak menjamin website sepenuhnya aman. Keamanan harus dibangun melalui beberapa lapisan, seperti:

• Pembaruan rutin
• Backup yang teruji
• Web Application Firewall
• Monitoring log
• Pembatasan hak akses
• Autentikasi multifaktor
• Pemindaian keamanan berkala
• Rencana penanganan insiden

Backup juga harus diuji secara berkala. Cadangan yang tidak dapat dipulihkan akan kehilangan manfaatnya ketika terjadi insiden.

Kesimpulan

wp2shell merupakan ancaman serius karena menyerang WordPress Core dan berpotensi dieksploitasi tanpa proses login. Instalasi WordPress standar tanpa plugin tambahan pun dapat terdampak jika menjalankan versi yang rentan.

Pemilik website disarankan segera memeriksa versi WordPress, memasang pembaruan keamanan, dan memeriksa tanda-tanda kompromi. Pastikan juga pembaruan otomatis benar-benar berhasil diterapkan.

Jangan menunggu sampai tampilan website berubah atau data pelanggan dicuri. Dalam menghadapi kerentanan kritis seperti wp2shell, tindakan cepat menjadi salah satu bentuk perlindungan terbaik.