Celah WP2Shell pada WordPress mulai dieksploitasi tidak lama setelah detail teknis dan kode percobaannya beredar secara online. Masalah ini memungkinkan penyerang yang belum login mengambil alih website WordPress yang masih memakai versi rentan, bahkan ketika website tersebut tidak memasang plugin atau theme bermasalah.
WP2Shell bukan nama satu celah tunggal. Istilah tersebut digunakan untuk rangkaian dua masalah keamanan pada WordPress Core, yaitu CVE-2026-63030 dan CVE-2026-60137. Ketika digabungkan, keduanya dapat membuka jalan bagi penyerang untuk membuat akun administrator palsu dan menjalankan kode pada server website. (sumber: Searchlight Cyber)
WordPress merilis update keamanan pada 17 Juli 2026 melalui versi 6.8.6, 6.9.5, dan 7.0.2. Tim WordPress menilai masalah tersebut cukup serius hingga mengaktifkan forced update melalui sistem update otomatis untuk instalasi yang terdampak. Pemilik website tetap perlu mengecek versinya secara manual karena update otomatis bisa gagal akibat pengaturan hosting, izin file, atau sistem deployment tertentu. (sumber: WordPress.org)
Versi WordPress yang Terdampak WP2Shell
Risiko remote code execution atau RCE dari WP2Shell terutama mengenai WordPress 6.9.0 sampai 6.9.4 serta WordPress 7.0.0 sampai 7.0.1. Versi tersebut perlu segera diupdate ke WordPress 6.9.5, 7.0.2, atau versi yang lebih baru.
WordPress 6.8 tidak terkena seluruh rangkaian RCE yang sama, tetapi versi 6.8.0 sampai 6.8.5 masih memiliki masalah SQL injection CVE-2026-60137. Pemilik website yang masih memakai cabang tersebut perlu pindah ke versi 6.8.6 atau yang lebih baru. (sumber: National Vulnerability Database)
- WordPress 6.8.0–6.8.5: update ke 6.8.6 atau lebih baru.
- WordPress 6.9.0–6.9.4: update ke 6.9.5 atau lebih baru.
- WordPress 7.0.0–7.0.1: update ke 7.0.2 atau lebih baru.
Celah ini berbeda dari banyak kasus keamanan WordPress yang biasanya berasal dari plugin pihak ketiga. WP2Shell berada di WordPress Core sehingga instalasi standar tanpa plugin tambahan tetap bisa terdampak apabila menggunakan versi yang rentan.
Eksploitasi Mulai Terdeteksi Setelah Update Dirilis
VulnCheck melaporkan aktivitas eksploitasi di dunia nyata mulai terlihat setelah celah tersebut diumumkan. Jaringan pemantauan perusahaan itu mendeteksi percobaan serangan terhadap sistem produksi, sedangkan Patchstack juga disebut mulai melihat eksploitasi kedua CVE tersebut pada 17 Juli 2026. (sumber: VulnCheck)
Namun, belum ada angka resmi yang menunjukkan berapa banyak website yang sudah berhasil diambil alih. Karena itu, menyebut serangan ini sudah terjadi secara massal perlu dilakukan dengan hati-hati. Informasi yang sudah dapat dipastikan adalah eksploitasi aktif telah terdeteksi dan kode percobaan untuk menjalankan serangan sudah tersedia secara publik.
Kondisi tersebut meningkatkan risiko munculnya scanning otomatis. Penyerang dapat mencari website yang masih memakai versi lama, lalu mencoba celah yang sama ke banyak alamat tanpa memeriksa target satu per satu. Website kecil, blog pribadi, toko online, portal berita, sampai website perusahaan dapat menjadi sasaran selama WordPress Core belum diperbarui.
Serangan Tidak Membutuhkan Akun WordPress
WP2Shell berbahaya karena penyerang tidak harus mengetahui username atau password administrator. Rangkaian celah memanfaatkan masalah pada pemrosesan REST API dan query database WordPress untuk melewati pembatasan yang seharusnya hanya dapat digunakan oleh pengguna yang sudah login.
Setelah berhasil masuk, pelaku dapat menambahkan akun administrator, mengubah isi website, mengambil data dari database, memasang script berbahaya, atau mempertahankan akses untuk serangan berikutnya. Dampak sebenarnya bergantung pada konfigurasi hosting, izin file, dan akses yang dimiliki proses WordPress pada server.
Rapid7 memasukkan WP2Shell sebagai celah remote code execution kritis dan menyarankan update segera. Perusahaan keamanan tersebut juga mengingatkan bahwa menggunakan web application firewall atau WAF tidak boleh dianggap sebagai pengganti update WordPress Core. (sumber: Rapid7)
Cara Mengecek dan Mengamankan Website
Pemilik website dapat membuka menu Dashboard > Updates untuk melihat versi WordPress yang sedang digunakan. Jika versinya masih masuk dalam daftar rentan, jalankan update Core sebelum memperbarui plugin atau melakukan perubahan lain.
Backup database dan file website tetap disarankan sebelum update, terutama untuk website yang menggunakan custom theme, plugin lama, atau perubahan langsung pada file Core. Setelah update selesai, hapus cache website dan pastikan halaman utama, halaman admin, form, serta fitur penting masih berjalan normal.
- Pastikan WordPress sudah memakai versi 6.8.6, 6.9.5, 7.0.2, atau yang lebih baru.
- Periksa daftar administrator dan hapus akun yang tidak dikenal.
- Ganti password administrator, hosting, database, dan akun FTP jika ada tanda penyusupan.
- Periksa file PHP yang baru dibuat atau berubah tanpa alasan jelas.
- Cek log akses untuk request mencurigakan menuju REST API WordPress.
- Pastikan backup bersih tersedia sebelum melakukan pemulihan website.
Update WordPress saja menutup celah, tetapi tidak otomatis menghapus malware apabila website sudah lebih dulu disusupi. Website yang menemukan akun admin asing, file mencurigakan, redirect, iklan tidak dikenal, atau perubahan halaman perlu menjalani pemeriksaan keamanan lebih lengkap.
WordPress 7.0.2 dan 6.9.5 dirilis pada 17 Juli 2026 untuk menutup celah WP2Shell pada instalasi yang terdampak.