wp2shell: Apa yang Perlu Diketahui Pemilik Website WordPress

Sering kali pemilik website WordPress baru mulai memperhatikan keamanan nya saat ada kerentanan WordPress yang lagi ramai dibahas. Kali ini namanya wp2shell. Yang perlu kamu tahu sekarang: apakah WordPress kamu terdampak, dan apa yang perlu di cek setelah update.

Kalau WordPress kamu masih memakai versi yang terdampak, pasang update resmi secepatnya. Setelah itu, luangkan waktu sebentar untuk melihat kondisi website, akun user dan akun admin, dan file backup yang kamu punya. Tidak perlu langsung panik dan “membongkar” semua konfigurasi server hanya karena satu berita CVE yang lagi viral.

Di artikel Panduan WordPress kali ini, kita akan membahas tentang wp2shell.

Apa itu wp2shell?

wp2shell adalah nama yang biasa dipakai untuk rangkaian kerentanan WordPress CVE-2026-63030 dan CVE-2026-60137.

wp2shell berkaitan dengan REST API batch route dan SQL injection. Dalam kombinasi atau kasus tertentu, keduanya dapat berujung pada remote code execution server.

WordPress secara resmi menyebut versi 6.9.0 sampai 6.9.4, serta 7.0.0 sampai 7.0.1, sebagai versi yang terdampak. Perbaikannya sudah tersedia di WordPress 6.9.5 dan 7.0.2. Kalau kamu belum yakin versi yang dipakai, cek dari Dashboard WordPress di menu Updates. Cek sumber advisory resminya disini karena informasi versi terbaru bisa berubah setelah artikel ini terbit.

Website Saya Kelihatan Normal, Apa Tetap Perlu Cek?

Tetap perlu.

Website yang belum diperbarui bisa saja masih terlihat normal: halaman bisa dibuka, pesanan tetap masuk, dan dashboard tidak menunjukkan pesan atau perubahan yang aneh. Itu adalah kabar yang baik, tetapi belum menjawab apakah versi WordPress-nya sudah aman.

Mulai dari hal yang paling gampang:

– cek versi WordPress yang sedang berjalan;
– update core WordPress dari sumber resmi;
– pastikan update benar-benar selesai, lalu cek lagi nomornya;
– simpan backup database dan file website sebelum melakukan perubahan besar;
– catat plugin, tema, dan PHP yang sedang dipakai kalau website nantinya perlu diperiksa lebih jauh.

Kalau kamu mengaktifkan automatic update, jangan langsung menganggap semuanya sudah selesai. Buka dashboard dan lihat sendiri versi yang sedang berjalan. Ini juga kesempatan bagus untuk tahu siapa yang punya akses administrator ke website kamu.

Kenapa REST API Ikut Disebut?

WordPress punya REST API untuk kebutuhan editor, plugin, atau integrasi lain. Salah satu fasilitasnya adalah batch/v1, yaitu cara WordPress menangani beberapa request dalam satu batch. Dokumentasi WordPress sendiri mencatatnya sebagai bagian dari REST API. Lihat dokumentasinya di sini.

Karena itu, request menuju REST batch di log tidak otomatis berarti website kamu diserang lewat wp2shell. Log biasanya hanya menunjukkan alamat request, waktu, metode, dan status. Ia tidak selalu menyimpan isi request atau aktivitas yang terjadi di dalam batch tersebut.

Kalau ada aktivitas seperti itu di log, cocokkan dengan hal lain: apakah ada akun admin baru, file aneh yang muncul, plugin yang berubah, atau konten aneh di waktu yang sama. Dari situ, kamu punya bahan untuk menentukan apa yang perlu dicek lebih dulu. Jangan buru-buru menyimpulkan jalur serangannya hanya dari satu baris log saja.

Kejanggalan

Untuk website biasa, pemeriksaan awal tidak harus langsung masuk ke server. Ada beberapa hal yang bisa kamu lihat dari area WordPress dulu:

– Users: ada administrator yang tidak kamu kenal atau akun lama yang seharusnya sudah tidak dipakai?
– Plugins dan Themes: ada yang terpasang, aktif, atau berubah tanpa sepengetahuan kamu?
– Media dan file uploads: ada file yang tidak sesuai dengan konten website?
– Konten: ada halaman, artikel, atau redirect yang berubah sendiri?
– Backup: kapan backup terakhir dibuat, dan apakah isinya benar-benar bisa dipulihkan?

Satu temuan belum tentu berarti seluruh website kamu sudah dikuasai. Sebaliknya, tidak menemukan apa-apa dalam lima menit pertama pengecekan juga belum cukup untuk menyebut website kamu aman. Catat saja apa yang kamu lihat, termasuk waktunya. Catatan kecil itu sangat membantu kalau kamu membutuhkan bantuan pihak lain seperti tim support hosting, atau jasa maintenance.

Website Pakai VPS atau Container

Website di shared hosting dan website yang berjalan di VPS perlu diperiksa dengan cara yang berbeda.

Kalau kamu memakai shared hosting, biasanya fokus awalnya ada di WordPress, akun panel, file website, dan backup. Kalau website berjalan di VPS, Docker, atau memakai banyak layanan lain, pemeriksaannya bisa meluas ke akses SSH, container, volume data, konfigurasi environment, DNS, email, dan kredensial integrasi pihak ketiga.

Bukan berarti setiap isu WordPress harus berakhir dengan reinstall VPS. Yang penting, pihak yang memeriksa nanti tahu bentuk lingkungan website kamu seperti apa dan tempat dimana seluruh data pentingnya berada. Jangan sampai WordPress sudah diperbarui, tetapi akses panel atau kredensial yang pernah terekspos masih dibiarkan begitu saja.

Uji Backup

Backup memang sering jadi hal pertama kali yang dicari ketika ada masalah. Namun backup baru benar-benar berguna kalau bisa dipakai.

Pilih backup yang dibuat sebelum dugaan terjadi nya insiden. Lalu cek isinya: apakah database, uploads, konfigurasi, dan file yang dibutuhkan ikut tersimpan? Kalau memungkinkan, lakukan restore di tempat terpisah dulu. Dari sana kamu bisa tahu apakah website benar-benar bisa berjalan lagi dan data apa yang mungkin hilang.

Jangan menunggu website bermasalah dulu untuk mengetahui kalau backup kita ternyata hanya menyimpan sebagian data (gagal menyimpan seluruh data).

Kapan Perlu Minta Bantuan?

Hubungi developer, penyedia hosting, atau jasa maintenance WordPress kalau:

– WordPress kamu masih berada di versi terdampak dan belum bisa diperbarui;
– ada akun administrator, file, atau perubahan konten yang tidak kamu kenal;
– website menyimpan data pelanggan, transaksi, atau akses penting;
– kamu memakai VPS, container, atau integrasi yang tidak yakin cara memeriksanya;
– backup perlu dipulihkan dan kamu belum pernah menguji proses restore-nya.

Tidak semua pemilik website harus menjadi security engineer. Yang penting, kamu tahu kapan cukup melakukan update dan kapan kondisi website perlu diperiksa lebih serius.

Checklist Singkat wp2shell

[ ] Cek versi WordPress yang sedang berjalan.
[ ] Update ke versi WordPress yang sudah memuat perbaikan resmi.
[ ] Simpan backup database dan file website.
[ ] Tinjau akun administrator, plugin, tema, serta perubahan yang tidak dikenal.
[ ] Catat temuan dan waktu kejadiannya.
[ ] Uji restore backup sebelum benar-benar membutuhkannya.

Kalau kamu menggunakan WordPress untuk bisnis atau menyimpan data penting, jangan berhenti setelah melakukan update saja. Pastikan kamu juga tahu kondisi website setelahnya. Kalau butuh bantuan untuk update, pemeriksaan WordPress, atau penanganan website yang mencurigakan, SaidWP bisa bantu meninjau kondisi website kamu.

Sumber

– WordPress Security Advisory: GHSA-ff9f-jf42-662q
– WP_REST_Server::serve_batch_request_v1