Peringatan Keamanan: Kerentanan CVE-2026-63030 dan CVE-2026-60137 pada Wordpress

Peringatan Keamanan: Kerentanan Kritis CVE-2026-63030 dan CVE-2026-60137 pada WordPress

Banda Aceh-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kota Banda Aceh yang menggunakan WordPress sebagai platform situs web untuk segera menindaklanjuti kerentanan kritis yang telah diidentifikasi dengan nomor CVE-2026-63030 dan CVE-2026-60137. Kedua kerentanan ini merupakan kombinasi REST API Route Confusion dan SQL Injection yang dapat dimanfaatkan secara berantai (exploit chain) hingga memungkinkan Remote Code Execution (RCE) pada sistem yang terdampak. Kombinasi kerentanan tersebut memiliki skor CVSS v3.1 sebesar 9.8 (Critical).

WordPress merupakan sistem manajemen konten (Content Management System/CMS) yang paling banyak digunakan untuk membangun situs web instansi pemerintah, portal informasi, layanan publik, dan berbagai aplikasi berbasis web. Keberhasilan eksploitasi terhadap kerentanan ini berpotensi menyebabkan kompromi penuh terhadap server, pencurian data, hingga gangguan terhadap layanan publik.

Ikhtisar

Kerentanan CVE-2026-63030 terjadi pada mekanisme REST API Batch Endpoint, di mana proses validasi terhadap route request tidak diterapkan secara memadai. Kondisi tersebut memungkinkan permintaan diproses melalui route yang seharusnya tidak dapat diakses, sehingga mekanisme pembatasan akses (access control) dapat dilewati.

Sementara itu, CVE-2026-60137 merupakan kerentanan SQL Injection yang disebabkan oleh parameter author__not_in pada komponen WP_Query yang tidak melakukan sanitasi terhadap input pengguna dengan benar. Dalam kondisi tertentu, kelemahan ini memungkinkan penyerang menyisipkan perintah SQL berbahaya ke dalam basis data aplikasi.

Apabila kedua kerentanan tersebut dieksploitasi secara berantai, penyerang dapat memanfaatkan kelemahan validasi pada REST API untuk mencapai jalur yang rentan terhadap SQL Injection. Pada skenario tertentu, eksploitasi dapat berkembang hingga memperoleh kemampuan Remote Code Execution (RCE) pada server WordPress.

Dampak

• Melakukan SQL Injection terhadap basis data WordPress.
• Membaca, mengubah, atau menghapus data yang tersimpan dalam database.
• Melewati pembatasan akses pada REST API melalui mekanisme route confusion.
• Memperoleh akses tidak sah terhadap akun maupun data sensitif.
• Dalam kondisi tertentu, meningkatkan serangan hingga memperoleh kemampuan Remote Code Execution (RCE) pada server.
• Mengambil alih situs web (website takeover), melakukan defacement, atau memasang web shell untuk mempertahankan akses.

Sistem yang Terdampak

Detail Teknis

Kerentanan CVE-2026-63030 berasal dari implementasi REST API Batch Endpoint yang tidak melakukan validasi route secara benar. Akibatnya, sebuah permintaan dapat diproses melalui jalur (route) yang berbeda dari yang seharusnya, sehingga mekanisme pembatasan akses dapat dilewati.

Di sisi lain, CVE-2026-60137 disebabkan oleh kurangnya proses sanitasi terhadap parameter author__not_in pada fungsi WP_Query. Parameter tersebut dapat dimanipulasi sehingga menghasilkan perintah SQL yang tidak semestinya dieksekusi oleh aplikasi.

Meskipun masing-masing kerentanan memiliki dampak tersendiri, kombinasi keduanya membentuk sebuah exploit chain yang jauh lebih berbahaya. Penyerang dapat memanfaatkan kelemahan pada REST API untuk mencapai fungsi yang rentan terhadap SQL Injection, kemudian menggunakan akses tersebut untuk memperoleh kendali lebih lanjut terhadap sistem. Pada lingkungan tertentu, rangkaian eksploitasi ini berpotensi berkembang menjadi Remote Code Execution (RCE) sehingga memungkinkan penyerang menjalankan perintah arbitrer pada server WordPress.

Dengan tingkat keparahan Critical (CVSS 9.8), organisasi yang masih menggunakan versi WordPress terdampak disarankan segera melakukan tindakan mitigasi untuk mengurangi risiko kompromi terhadap sistem maupun data yang dikelola.

Rekomendasi

• Segera lakukan pembaruan WordPress ke versi terbaru yang telah menyediakan perbaikan keamanan untuk kedua kerentanan tersebut.
• Lakukan pembaruan secara berkala terhadap seluruh instalasi WordPress, termasuk tema dan plugin yang digunakan.
• Terapkan prinsip least privilege dengan membatasi hak akses pengguna sesuai kebutuhan operasional.
• Lakukan monitoring dan audit log secara berkala untuk mendeteksi aktivitas mencurigakan maupun indikasi eksploitasi.
• Periksa integritas situs web, termasuk keberadaan web shell, akun administrator yang tidak dikenal, maupun perubahan berkas sistem.
• Pastikan backup data dan konfigurasi tersedia serta dapat dipulihkan apabila terjadi insiden keamanan.
• Batasi akses administratif ke dashboard WordPress hanya dari jaringan atau alamat IP yang terpercaya apabila memungkinkan.
• Gunakan Web Application Firewall (WAF) atau mekanisme perlindungan tambahan untuk mengurangi risiko eksploitasi terhadap layanan yang terekspos ke internet.

Perangkat Daerah yang menggunakan WordPress dan membutuhkan pendampingan teknis terkait proses mitigasi maupun penanganan insiden dapat menghubungi Banda Aceh-CSIRT melalui kanal pelaporan resmi.

Referensi

• CVE-2026-63030
• CVE-2026-60137
• WordPress Security Advisory
• WordPress Release Notes
• National Vulnerability Database (NVD)
• CVSS v3.1 Specification