Celah WooCommerce Wholesale Lead Capture Dieksploitasi, 100 Ribu Serangan Terblokir

Telset.id – Celah keamanan kritis pada plugin Wholesale Lead Capture Plugin for WooCommerce dilaporkan sedang dieksploitasi secara aktif untuk mengunggah malware dan berpotensi mengambil alih seluruh situs web. Defiant, lewat firewall aplikasi web Wordfence, mengungkap telah memblokir lebih dari 100.000 serangan yang menyasar kerentanan dengan skor keparahan 9,0/10 (critical) tersebut.

Plugin ini merupakan perangkat premium berharga antara $99 hingga $600 yang menambahkan sistem registrasi dan onboarding khusus bagi pelanggan wholesale dan B2B. Menurut halaman toko WordPress, plugin ini memiliki lebih dari 20.000 instalasi aktif. Kerentanan yang dilacak sebagai CVE-2026-27540 itu berupa kelemahan unggah file sembarang tanpa autentikasi (unauthenticated arbitrary file-upload) yang memungkinkan pihak tak berwenang mengunggah file arbitrer, termasuk PHP webshell.

Dampak dari eksploitasi ini bukan sekadar unggahan file biasa. PHP webshell yang berhasil ditanam dapat mengeksekusi kode berbahaya dan berujung pada pengambilalihan situs secara penuh. Versi 2.0.3.1 dan yang lebih lama disebut sebagai versi yang terdampak, sementara versi 2.0.3.2 yang dirilis pada 20 Februari diklaim telah menambal celah tersebut. Artinya, patch sebenarnya sudah tersedia selama hampir setengah tahun.

Dua Lonjakan Serangan Terdeteksi

Kendati patch sudah lama tersedia, Wordfence mencatat dua lonjakan serangan. Lonjakan pertama terjadi antara 4 hingga 17 Juni, dan lonjakan kedua antara 1 Juli hingga 30 Agustus. Dalam insiden-insiden tersebut, penyerang sebagian besar mengunggah webshell pengintaian, kemungkinan untuk memetakan lanskap sebelum menyebarkan malware yang lebih serius.

“Shell.php yang diunggah adalah PHP webshell yang melaporkan detail host dan menyediakan formulir unggah berbasis browser untuk menulis file berbahaya tambahan ke situs,” ujar para peneliti. Temuan ini menegaskan bahwa serangan tidak berhenti pada tahap awal, melainkan membuka jalan bagi penyebaran ancaman lanjutan yang lebih merusak.

Kasus ini menjadi pengingat bahwa ketergantungan pada plugin pihak ketiga membawa risiko tersendiri bagi ekosistem WordPress. Serangan siber terhadap layanan digital memang bukan hal baru. Sebelumnya, insiden kebocoran data juga pernah menimpa layanan keuangan seperti yang terjadi pada kasus Revolut Bocorkan Data, yang menunjukkan bahwa ancaman terhadap data pengguna bisa datang dari berbagai arah.

Bagi pemilik situs, langkah mitigasi yang dianjurkan cukup jelas. Pengguna yang menjalankan plugin ini disarankan segera memperbarui ke versi terbaru, yakni 2.0.3.2, dan memeriksa direktori unggahan untuk menemukan file PHP yang tidak terduga atau baru dibuat. Pemeriksaan ini penting karena webshell pengintaian sering kali bersembunyi dalam file yang tampak tidak mencolok.

Ancaman terhadap situs berbasis WordPress memang terus berkembang. Laporan sebelumnya bahkan menyebut adanya dua celah keamanan besar yang memengaruhi lebih dari enam juta situs WordPress, serta peringatan bahwa jutaan situs WordPress berisiko terkena dampak setelah munculnya bug yang mengkhawatirkan. Selain itu, para ahli juga pernah mengungkap 2.000 situs WordPress yang diretas dan diam-diam menjalankan jaringan kriminal global.

Pola serangan yang menyasar plugin dan ekosistem situs web ini menunjukkan bahwa patch bukan sekadar formalitas. Ketersediaan versi 2.0.3.2 selama hampir enam bulan tidak serta-merta menghentikan eksploitasi, terutama ketika banyak pemilik situs belum memperbarui instalasi mereka. Lonjakan serangan pada Juni hingga Agustus menjadi bukti bahwa penyerang terus memindai target yang belum tertambal.

Dari sisi pengguna biasa, kejadian ini menegaskan pentingnya kewaspadaan terhadap pembaruan keamanan. Situs yang menjadi korban bukan hanya kehilangan kendali atas kontennya, tetapi juga berisiko mengekspos data pengunjung dan pelanggan yang tersimpan di dalamnya. Bagi bisnis yang mengandalkan WooCommerce untuk transaksi wholesale, pengambilalihan situs dapat melumpuhkan operasional sekaligus merusak kepercayaan mitra.

Wordfence dan Defiant menekankan bahwa langkah paling mendesak adalah pembaruan ke versi terbaru. Pemeriksaan direktori unggahan untuk file PHP yang tidak terduga atau baru dibuat juga menjadi bagian dari respons yang dianjurkan. Tanpa langkah ini, webshell yang sudah tertanam berpotensi tetap aktif meski celah utamanya telah ditutup.

Kasus CVE-2026-27540 memperlihatkan bagaimana sebuah celah pada satu plugin dapat berdampak luas ketika dieksploitasi secara masif. Dengan lebih dari 20.000 instalasi aktif dan skor keparahan 9,0/10, plugin ini menjadi target yang menarik bagi penyerang. Fakta bahwa lebih dari 100.000 serangan berhasil diblokir menunjukkan skala upaya eksploitasi yang terjadi di lapangan.

Hingga kini, belum ada informasi tambahan mengenai jumlah situs yang benar-benar berhasil dikompromi di luar serangan yang diblokir. Namun, peringatan Defiant dan Wordfence menjadi sinyal jelas bahwa pembaruan keamanan tidak bisa ditunda. Pemilik situs yang masih menjalankan versi 2.0.3.1 atau lebih lama disarankan segera mengambil tindakan sebelum penyerang menemukan celah yang belum tertutup.

Bagi para penggemar teknologi yang mengikuti perkembangan perangkat dan inovasi, kasus ini menjadi pengingat bahwa keamanan digital sama pentingnya dengan fitur. Bahkan di sektor lain, seperti dunia kamera, inovasi terus berjalan dengan hadirnya OM System PEN sebagai penerus Olympus PEN-F yang lebih terjangkau, serta peluncuran kamera PEN pertama dengan nama barunya. Di sisi lain, dunia game juga menghadirkan Armatus, game shooter baru yang mirip DOOM dan Devil May Cry.

Yang jelas, insiden pada plugin WooCommerce ini menegaskan bahwa patch keamanan harus segera diterapkan begitu tersedia. Ketersediaan versi 2.0.3.2 sejak Februari tidak cukup jika pemilik situs tidak memperbarui instalasi mereka. Pemeriksaan rutin terhadap file mencurigakan di direktori unggahan menjadi langkah pencegahan yang tak kalah penting untuk memastikan situs tetap aman dari ancaman yang terus berkembang.