Banda Aceh-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kota Banda Aceh untuk mewaspadai kerentanan kritis pada plugin WordPress Breeze Cache yang teridentifikasi dengan nomor CVE-2026-3844. Kerentanan ini memperoleh skor CVSS v3.1 sebesar 9.8 (Critical) dan telah dikonfirmasi dieksploitasi secara aktif di lapangan.
Mengingat WordPress banyak dipakai sebagai platform situs web instansi pemerintah dan plugin Breeze memiliki ratusan ribu pemasangan aktif, kerentanan ini berpotensi menimbulkan dampak yang luas apabila tidak segera ditangani.
Ikhtisar
CVE-2026-3844 merupakan kerentanan unrestricted file upload (CWE-434) pada plugin Breeze Cache untuk WordPress, sebuah plugin optimasi performa yang dikembangkan oleh Cloudways.
Kerentanan disebabkan oleh tidak adanya validasi tipe berkas pada fungsi fetch_gravatar_from_remote. Penyerang tanpa otentikasi dapat memanfaatkan celah ini untuk mengunggah berkas arbitrer ke server, yang berpotensi berujung pada eksekusi kode jarak jauh (Remote Code Execution).
Dampak
Eksploitasi yang berhasil dapat memberi penyerang konsekuensi sebagai berikut:
- Pemasangan web shell atau berkas berbahaya yang memungkinkan eksekusi kode jarak jauh.
- Pengambilalihan penuh situs web (full site compromise).
- Akses tidak sah terhadap data sensitif pengunjung dan pengelola situs (aspek kerahasiaan).
- Perubahan atau perusakan tampilan dan konten situs (aspek integritas).
- Pemanfaatan situs sebagai sarana penyebaran malware atau konten ilegal seperti judi daring.
Sistem yang Terdampak
| Produk | Versi Terdampak | Versi Perbaikan |
|---|---|---|
| Plugin Breeze Cache (WordPress) | Seluruh versi hingga dan termasuk 2.4.4 | 2.4.5 |
Catatan: Prasyarat eksploitasi adalah opsi Host Files Locally – Gravatars diaktifkan pada pengaturan plugin. Opsi ini dalam keadaan bawaan tidak aktif.
Detail Teknis
Akar masalah berada pada fungsi fetch_gravatar_from_remote di dalam berkas class-breeze-cache-cronjobs.php. Fungsi ini mengambil gambar Gravatar dari sebuah URL jarak jauh lalu menyimpannya secara lokal pada direktori uploads WordPress.
Fungsi tersebut tidak memvalidasi tipe maupun isi berkas yang diunduh. Penyerang yang dapat mengendalikan URL sumber dapat membuat server mengunduh web shell PHP alih-alih berkas gambar. Berkas berbahaya yang tersimpan di direktori uploads kemudian dapat diakses dan dieksekusi untuk mengambil alih situs.
Rekomendasi
- Lakukan pembaruan. Tingkatkan plugin Breeze Cache ke versi 2.4.5 atau versi terbaru.
- Mitigasi sementara. Apabila pembaruan belum dapat dilakukan, nonaktifkan opsi Host Files Locally – Gravatars atau nonaktifkan plugin untuk sementara.
- Periksa indikasi kompromi. Audit direktori uploads WordPress untuk mencari berkas PHP yang tidak dikenali atau mencurigakan.
- Tinjau akun dan kredensial. Apabila ditemukan indikasi kompromi, ganti seluruh kata sandi administrator dan periksa akun pengguna yang tidak sah.
- Aktifkan pemantauan. Gunakan pemindai keamanan dan firewall aplikasi web (WAF) untuk mendeteksi serta memblokir upaya unggah berkas berbahaya.
Perangkat Daerah yang menemukan indikasi eksploitasi atau membutuhkan pendampingan teknis dapat menghubungi Banda Aceh-CSIRT melalui kanal pelaporan resmi.
Referensi
- NVD — CVE-2026-3844
- WordPress Plugin Directory — Breeze