Telset.id – Lebih dari enam juta pengguna WordPress berisiko mengalami peretasan situs setelah dua kerentanan kritis ditemukan dan dieksploitasi secara aktif di dua plugin populer, Elementor Pro dan Super Forms. Peneliti keamanan Wordfence mengungkapkan bahwa kedua celah tersebut memungkinkan penyerang tanpa autentikasi untuk mengunggah file berbahaya yang berujung pada eksekusi kode jarak jauh.
Ancaman ini sangat serius karena jumlah percobaan eksploitasi yang berhasil diblokir oleh Wordfence saja telah melampaui 440.000 serangan. Angka tersebut merupakan akumulasi dari lebih dari 190.000 percobaan eksploitasi pada Elementor Pro dan lebih dari 250.000 percobaan eksploitasi pada Super Forms.
Elementor Pro adalah plugin komersial yang memungkinkan pengguna membangun situs web menggunakan elemen drag-and-drop tanpa perlu menulis kode. Dengan plugin ini, pengguna dapat menambahkan widget canggih, template, formulir, popup, dan berbagai fitur lainnya. Popularitasnya sangat tinggi dengan lebih dari enam juta situs web yang aktif menggunakannya.
Dua Cacat Kritis dengan Skor Severity 9.8
Menurut Wordfence, Elementor Pro rentan terhadap bug “unrestricted file type upload” atau unggahan file tanpa batasan tipe pada semua versi hingga dan termasuk versi 4.2.1. “Hal ini memungkinkan penyerang tanpa autentikasi untuk mengunggah file yang mungkin dapat dieksekusi, yang membuat eksekusi kode jarak jauh menjadi mungkin,” jelas para peneliti.
Eksploitasi bug ini memerlukan kondisi tertentu, yaitu situs target harus memiliki halaman yang mempublikasikan widget Elementor Pro Form dengan setidaknya satu kolom File Upload yang tidak wajib diisi. Kerentanan ini dilacak dengan kode CVE-2026-32475 dan memiliki skor severity 9.8 dari 10 yang masuk kategori kritis. Patch untuk bug ini telah dirilis pada pertengahan Agustus 2026.
Pada waktu yang hampir bersamaan, para peneliti juga melaporkan adanya celah pada Super Forms, plugin pembuat formulir yang memungkinkan pengguna membuat dan mengelola formulir menggunakan antarmuka drag-and-drop. Plugin dengan sekitar 13.000 instalasi aktif ini mengandung bug yang memungkinkan unggahan file arbitrer pada semua versi hingga dan termasuk versi 6.3.313.
Kerentanan ini dilacak dengan kode CVE-2026-14894 dan juga memiliki skor severity 9.8 dari 10 yang masuk kategori kritis. Patch untuk bug ini telah dirilis beberapa minggu yang lalu.
Baca Juga:
Kerentanan pada kedua plugin ini termasuk dalam kategori cacat keamanan yang paling berbahaya karena dapat dieksploitasi oleh penyerang yang tidak memiliki hak akses sama sekali. Kombinasi antara kemudahan eksploitasi dan dampak yang dihasilkan membuat kedua bug ini menjadi target utama para peretas.
Dampak dari kedua kerentanan ini sangat luas. Elementor Pro digunakan oleh lebih dari enam juta situs web, menjadikannya salah satu plugin pembangun situs paling populer di ekosistem WordPress. Sementara itu, Super Forms meskipun memiliki basis pengguna yang lebih kecil dengan sekitar 13.000 instalasi aktif, tetap menjadi target yang menarik bagi penyerang karena fungsinya yang menangani formulir dan data pengguna.
Wordfence sendiri telah mencatat lebih dari 440.000 percobaan eksploitasi secara kumulatif dari kedua kerentanan ini. Jumlah ini menunjukkan bahwa para penyerang telah secara aktif memindai dan menyerang situs-situs yang menggunakan plugin tersebut sebelum pemilik situs sempat menerapkan patch yang tersedia.
Mengingat adopsi yang luas dari kedua plugin ini dan fakta bahwa celah-celah tersebut sedang dieksploitasi secara aktif, para pengguna sangat disarankan untuk segera menerapkan perbaikan tanpa penundaan. Kelambatan dalam menerapkan patch dapat memberikan peluang bagi penyerang untuk mengambil alih situs WordPress yang menjalankan plugin versi rentan.
Serangan yang berhasil mengeksploitasi kerentanan ini dapat berujung pada pengambilalihan situs secara penuh. Penyerang yang telah mendapatkan akses melalui eksekusi kode jarak jauh dapat melakukan berbagai tindakan berbahaya, mulai dari mencuri data pengguna, mengubah konten situs, hingga menggunakan server untuk aktivitas ilegal lainnya.
Para administrator situs WordPress yang menggunakan Elementor Pro atau Super Forms harus segera memeriksa versi plugin yang mereka gunakan dan memastikan bahwa mereka telah memperbarui ke versi terbaru yang sudah diperbaiki. Untuk Elementor Pro, pembaruan ke versi setelah 4.2.1 sangat penting, sementara untuk Super Forms, pengguna harus memastikan mereka menggunakan versi setelah 6.3.313.
Selain menerapkan patch, pengguna juga disarankan untuk memantau aktivitas mencurigakan di situs mereka, seperti file-file baru yang tidak dikenal atau perubahan pada file inti WordPress. Langkah-langkah keamanan tambahan seperti membatasi akses ke area administrasi dan menggunakan autentikasi dua faktor juga dapat membantu mengurangi risiko.
Mengapa Kerentanan Ini Sangat Berbahaya?
Kedua kerentanan ini memiliki karakteristik yang membuatnya sangat berbahaya. Pertama, keduanya dapat dieksploitasi oleh penyerang tanpa autentikasi, yang berarti tidak diperlukan kredensial atau akses khusus untuk melancarkan serangan. Kedua, dampak dari eksploitasi ini adalah remote code execution yang memberikan kendali penuh kepada penyerang atas server yang menjalankan situs WordPress.
Tingkat keparahan 9.8 dari 10 yang diberikan kepada kedua kerentanan ini mencerminkan kombinasi berbahaya antara kemudahan eksploitasi dan dampak yang sangat besar. Skor ini hampir mencapai nilai maksimum karena hampir semua aspek kerentanan berada pada tingkat yang paling parah.
Jumlah percobaan eksploitasi yang mencapai ratusan ribu dalam waktu singkat menunjukkan bahwa para penyerang telah menggunakan alat pemindai otomatis untuk menemukan situs-situs yang rentan. Hal ini berarti setiap situs yang menggunakan versi plugin yang belum diperbarui memiliki risiko tinggi untuk ditemukan dan diserang, terlepas dari apakah situs tersebut populer atau tidak.
Meskipun kedua plugin ini telah dirilis patch-nya, masih banyak situs yang mungkin belum menerapkan pembaruan tersebut. Setiap hari keterlambatan dalam menerapkan patch meningkatkan risiko situs untuk disusupi oleh penyerang yang memanfaatkan celah keamanan ini.
Para ahli keamanan menekankan bahwa tindakan pencegahan terbaik adalah dengan segera memperbarui plugin ke versi terbaru. Pengguna yang tidak yakin apakah situs mereka terkena dampak atau tidak sangat disarankan untuk segera melakukan pembaruan sebagai langkah pencegahan.
Informasi mengenai kedua kerentanan ini pertama kali diungkapkan melalui The Hacker News sebelum akhirnya dikonfirmasi dan didokumentasikan secara resmi oleh Wordfence. Transparansi seperti ini penting untuk memastikan bahwa seluruh komunitas WordPress dapat mengambil tindakan yang diperlukan untuk melindungi situs mereka.
Dengan lebih dari enam juta situs yang berisiko, insiden ini menjadi salah satu peringatan terbesar bagi ekosistem WordPress dalam beberapa waktu terakhir. Kejadian ini juga menjadi pengingat pentingnya menjaga plugin dan tema tetap diperbarui sebagai bagian dari praktik keamanan dasar yang harus dilakukan oleh setiap pemilik situs.
Ekosistem WordPress yang sangat bergantung pada plugin pihak ketiga memang memiliki risiko keamanan yang lebih besar dibandingkan platform yang lebih tertutup. Namun, dengan manajemen pembaruan yang disiplin dan pemantauan keamanan yang rutin, risiko tersebut dapat diminimalkan secara signifikan.
Ke depannya, para pengembang plugin diharapkan dapat lebih memperhatikan aspek keamanan dalam proses pengembangan mereka, termasuk melakukan audit kode secara berkala dan merespons laporan kerentanan dengan cepat. Sementara itu, pengguna harus selalu waspada dan proaktif dalam menjaga keamanan situs mereka sendiri.
Komentar
Belum ada komentar.