JAKARTA - Dua celah keamanan berskala kritis dilaporkan tengah dieksploitasi pada sistem manajemen konten (content management system/CMS) WordPress. Menurut Searchlight Cyber (2026), kerentanan itu pertama kali diungkap oleh tim peneliti perusahaan keamanan siber tersebut dan diberi nama sandi WP2Shell. Temuan tersebut memicu kekhawatiran besar di kalangan praktisi teknologi informasi dan pengembang web di seluruh dunia. Kedua celah tersebut terdaftar dengan kode registrasi global CVE-2026-60137 dan CVE-2026-63030. Berdasarkan penjelasan Tenable (2026), kerentanan sistemik ini memengaruhi WordPress versi 6.9.0 hingga 6.9.4, serta versi 7.0.0 hingga 7.0.1. Pelaku kejahatan siber tidak memerlukan prasyarat khusus, seperti kepemilikan akun pengguna terdaftar atau pemasangan pengaya (plugin) tertentu, untuk membobol pertahanan inti platform yang terdampak. Ancaman ini bersifat ganda karena melibatkan dua jenis kerentanan dengan fungsi teknis berbeda, tetapi saling melengkapi. CVE-2026-60137 diidentifikasi sebagai celah injeksi bahasa kueri terstruktur (structured query language injection/SQLi) dengan tingkat keparahan tinggi. Adapun CVE-2026-63030, menurut analisis Rapid7 (2026), didiagnosis sebagai kerentanan eksekusi kode jarak jauh (remote code execution/RCE) berkategori sangat kritis. Kombinasi keduanya memungkinkan pihak tidak dikenal menyusupkan perintah berbahaya ke dalam basis data situs web target dan melewati proses autentikasi administrator secara tidak sah. Akibatnya, pelaku dapat memperoleh kendali penuh atas peladen (server) dan seluruh isi situs yang menjadi sasaran. Setelah berhasil mengeksploitasi kedua celah itu, pelaku berpotensi menanamkan backdoor, yaitu pintu masuk tersembunyi pada sistem korban. Laporan BleepingComputer (2026) menyebutkan bahwa serangan yang terjadi telah dimanfaatkan untuk memasang webshell pada situs korban. Keberadaan backdoor memungkinkan peretas memperoleh akses berulang tanpa harus mengulangi proses eksploitasi dari awal. Akses tersebut tetap terbuka meskipun celah keamanan aslinya sudah ditambal. Oleh karena itu, korban yang sudah memperbarui sistem tetap bisa disusupi apabila backdoor yang tertanam sebelumnya belum terdeteksi dan dibersihkan sepenuhnya. Searchlight Cyber memilih tidak memublikasikan rincian teknis demi mencegah penyalahgunaan secara luas. Meskipun demikian, pihak-pihak di forum siber tertutup telah menyebarkan dokumen bukti konsep (proof of concept/PoC) terkait mekanisme kerentanan tersebut. Penyebaran dokumen itu langsung memicu munculnya korban nyata. Menurut Wiz Research (2026), eksploitasi celah ini telah terjadi di lapangan. Lembaga keamanan WordPress, Patchstack, juga mengonfirmasi bahwa sistem deteksi mereka mencatat lonjakan tajam percobaan eksploitasi aktif terhadap celah baru ini. Perusahaan keamanan siber Hexastrike turut melaporkan rangkaian aktivitas serangan serupa yang terdeteksi melalui jaringan sistem jebakan digital (honeypot) milik mereka. Tim forensik digital Hexastrike dikabarkan telah turun tangan membantu proses mitigasi dan penanganan darurat atas sejumlah insiden serius. Insiden tersebut diakibatkan oleh penetrasi ilegal pada celah keamanan WP2Shell. Kondisi darurat ini dipertegas oleh Benjamin Harris, kepala eksekutif (Chief Executive Officer/CEO) perusahaan pertahanan digital WatchTowr. Ia memperingatkan bahwa dampak kerusakan akibat eksploitasi WP2Shell berpotensi meluas secara masif dan eksponensial. Faktor utamanya adalah dominasi WordPress yang hingga kini menopang operasional ratusan juta situs web di seluruh dunia. Selain itu, Harris menyoroti penyusutan drastis jeda waktu (window of opportunity) antara pengumuman publik suatu celah keamanan dan peluncuran serangan pertama di lapangan. Menurutnya, pada masa lalu, eksploitasi suatu kerentanan umumnya baru muncul paling cepat 24 jam setelah diumumkan secara resmi. Namun, integrasi kecerdasan buatan (artificial intelligence/AI) kini telah mengubah lanskap ancaman siber secara radikal. Dengan bantuan komputasi otomatis berbasis kecerdasan buatan, pelaku kejahatan siber mampu memproduksi dan memodifikasi variasi program eksploitasi hanya dalam hitungan jam. Menanggapi ancaman kritis tersebut, tim pengembang inti WordPress segera merilis pembaruan keamanan darurat (hotfix) melalui versi 6.9.5 dan 7.0.2. Mengingat tingginya eskalasi risiko kerugian digital, pengelola WordPress juga mengaktifkan fitur pembaruan keamanan otomatis (automatic security updates) secara sepihak. Fitur itu berlaku bagi seluruh situs pengguna yang masih menjalankan versi kode terdampak. Di sisi lain, perusahaan infrastruktur internet global Cloudflare turut memperketat lini pertahanan digitalnya. Cloudflare dengan sigap mengintegrasikan aturan penyaringan keamanan baru (web application firewall rules) pada jaringan tepi (edge network) mereka. Langkah preventif ini bertujuan mendeteksi, memblokir, dan menyaring secara intensif lalu lintas data mencurigakan yang mengindikasikan upaya eksploitasi pada server pelanggan yang belum sempat melakukan pembaruan manual. Seluruh pemilik situs web berbasis WordPress diimbau segera memeriksa konsol administrasi masing-masing. Mereka perlu memastikan pembaruan ke versi teraman telah dilakukan sepenuhnya. Selain itu, pemindaian menyeluruh juga harus dilakukan untuk mendeteksi kemungkinan backdoor yang sudah tertanam sebelum pembaruan dilakukan. Langkah tersebut penting guna meminimalkan risiko peretasan berkelanjutan. Kasus WP2Shell ini sekaligus menjadi pengingat penting bagi industri teknologi informasi. Kecepatan respons terhadap celah keamanan kini menjadi faktor penentu keberhasilan pertahanan siber. Hal itu terjadi karena kecerdasan buatan telah mempersingkat jarak antara penemuan kerentanan dan upaya eksploitasinya di lapangan. Pengembang, administrator, dan penyedia layanan hosting harus membiasakan diri memantau informasi keamanan secara berkala. Kebiasaan tersebut juga perlu disertai dengan pencadangan data rutin dan pembatasan hak akses pada setiap sistem. Dengan demikian, kewaspadaan kolektif seluruh pihak menjadi kunci utama untuk menekan dampak kerusakan akibat ancaman serupa yang mungkin muncul kembali di masa mendatang.
