Banda Aceh-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kota Banda Aceh yang menggunakan WordPress untuk segera menindaklanjuti kerentanan keamanan CVE-2026-64638, yang dikenal sebagai XSS2Shell. Kerentanan ini merupakan Cross-Site Scripting (XSS) pada WordPress Core, khususnya pada komponen wp-login.php, yang dapat dieksploitasi tanpa autentikasi. Kerentanan ini memiliki tingkat risiko High dengan skor CVSS 8.9.
Kerentanan ini menjadi perhatian serius karena dalam kondisi tertentu eksploitasi dapat berkembang dari Reflected XSS menjadi Remote Code Execution (RCE). Penyerang dapat memanfaatkan halaman yang telah dimanipulasi untuk menyerang pengguna dengan hak akses Administrator, membuat application password secara tidak sah, kemudian menggunakan REST API untuk mengunggah plugin berbahaya dan memperoleh eksekusi kode pada server WordPress.
Ikhtisar
CVE-2026-64638 merupakan kerentanan Cross-Site Scripting (XSS) pada WordPress Core yang terjadi akibat adanya parser disagreement antara fungsi wp_strip_all_tags() dan wp_kses_post() dalam memproses input HTML tertentu.
Kondisi tersebut memungkinkan terjadinya Reflected XSS pada domain WordPress yang terdampak. Karena kerentanan dapat dieksploitasi tanpa autentikasi, penyerang tidak perlu memiliki akun WordPress terlebih dahulu untuk memulai serangan.
Apabila serangan berhasil diarahkan kepada pengguna dengan hak akses Administrator, kerentanan tersebut dapat dimanfaatkan untuk membuat application password secara tidak sah. Kredensial tersebut selanjutnya dapat digunakan melalui REST API untuk mengunggah plugin berbahaya, yang pada akhirnya dapat menyebabkan Remote Code Execution (RCE) pada server.
Dampak
Eksploitasi yang berhasil dapat memberikan konsekuensi sebagai berikut:
- Melakukan Reflected Cross-Site Scripting (XSS) pada situs WordPress yang terdampak.
- Menjalankan kode aktif melalui input HTML yang telah dimanipulasi.
- Menyerang pengguna WordPress dengan hak akses Administrator tanpa memerlukan autentikasi pada tahap awal.
- Membuat application password secara tidak sah melalui akun Administrator yang menjadi target.
- Menyalahgunakan REST API untuk mengunggah plugin berbahaya.
- Memperoleh kemampuan Remote Code Execution (RCE) pada server WordPress dalam skenario eksploitasi tertentu.
- Berpotensi menyebabkan kompromi penuh terhadap situs dan server yang menjalankan WordPress.
Sistem yang Terdampak
| Produk | Versi Terdampak | Versi Perbaikan |
|---|---|---|
| WordPress Core | 4.7 hingga 7.0.2 | 7.0.3 atau versi terbaru yang tersedia |
Menurut informasi pada advisori, produk yang terdampak mencakup WordPress Core versi 4.7 hingga 7.0.2. Pembaruan keamanan merekomendasikan penggunaan WordPress 7.0.3 atau versi terbaru yang tersedia.
Detail Teknis
Kerentanan CVE-2026-64638 berakar pada perbedaan cara parser memproses input HTML antara fungsi wp_strip_all_tags() dan wp_kses_post(). Perbedaan pemrosesan tersebut dapat dimanfaatkan untuk menghasilkan input yang lolos dari mekanisme sanitasi tertentu dan kemudian diproses sebagai kode aktif oleh browser.
Kerentanan ini dikategorikan sebagai CWE-79: Improper Neutralization of Input During Web Page Generation, yaitu kondisi ketika aplikasi tidak melakukan sanitasi input secara tepat sebelum data ditampilkan pada halaman web. Akibatnya, input tertentu dapat ditafsirkan sebagai kode aktif.
Dalam skenario serangan yang lebih lanjut, penyerang dapat mengarahkan pengguna dengan hak akses Administrator untuk mengakses halaman yang telah dimanipulasi. Apabila berhasil, penyerang dapat membuat application password secara tidak sah. Kredensial tersebut kemudian dapat digunakan melalui REST API untuk mengunggah plugin berbahaya sehingga serangan dapat berkembang menjadi Remote Code Execution (RCE) pada server.
Dengan tingkat risiko High (CVSS 8.9) serta cakupan versi terdampak yang sangat luas, kerentanan ini perlu menjadi perhatian khusus bagi seluruh pengelola WordPress, terutama sistem yang menyediakan akses administratif melalui internet.
Rekomendasi
- Segera lakukan pembaruan WordPress Core ke versi 7.0.3 atau versi terbaru yang tersedia.
- Prioritaskan sistem WordPress yang masih menggunakan versi 7.0.2 atau lebih lama, termasuk instalasi WordPress Multisite.
- Nonaktifkan Application Passwords apabila fitur tersebut tidak diperlukan untuk kebutuhan integrasi API.
- Batasi akun Administrator dan terapkan prinsip least privilege sesuai kebutuhan akses pengguna.
- Lakukan audit akun Administrator dan periksa adanya akun maupun kredensial yang tidak dikenali.
- Periksa Application Password yang telah dibuat pada akun Administrator dan hapus kredensial yang tidak dikenal atau tidak diperlukan.
- Lakukan monitoring dan audit log untuk mendeteksi aktivitas mencurigakan pada halaman login, REST API, maupun aktivitas administratif WordPress.
- Periksa integritas plugin dan pastikan tidak terdapat plugin asing atau plugin yang tidak dikenali yang muncul setelah terjadinya aktivitas mencurigakan.
- Pastikan backup data dan konfigurasi tersedia dan dapat dipulihkan apabila terjadi insiden keamanan.
Perangkat Daerah yang menggunakan WordPress dan membutuhkan pendampingan teknis terkait proses pembaruan maupun pemeriksaan indikasi kompromi dapat menghubungi Banda Aceh-CSIRT melalui kanal pelaporan resmi.
Referensi
- NVD — CVE-2026-64638
- WordPress — WordPress 7.0.3 Release
- IONSEC — XSS2Shell: WordPress Pre-Auth XSS to RCE
- The Hacker News — New WordPress Pre-Auth XSS Could Lead to RCE
- Pwn.ai — XSS2Shell
Catatan: Informasi pada artikel ini disusun berdasarkan materi advisori yang diterbitkan pada 8 Agustus 2026.