Pada 17 Juli 2026, tim peneliti Searchlight Cyber lewat unit Assetnote mengumumkan temuan bernama WP2Shell, gabungan dua celah di WordPress Core yang memungkinkan eksploitasi tanpa proses login sama sekali.
Dua celah yang saling berkaitan:
- CVE-2026-60137 — celah SQL Injection pada parameter author__not_in di WP_Query, dengan skor CVSS 9.1, dan sudah berdampak sejak versi WordPress 6.8
- CVE-2026-63030 — kesalahan penanganan route pada REST API /wp-json/batch/v1, yang membuat celah SQLi di atas bisa dirantai menjadi remote code execution (RCE) sebelum autentikasi
Kombinasi keduanya berdampak pada WordPress versi 6.9.0–6.9.4 dan 7.0.0–7.0.1, dan sudah diperbaiki lewat rilis 6.9.5 serta 7.0.2.
Soal skala dampaknya, ini yang membuat temuan ini serius: WordPress digunakan oleh sekitar 500 juta situs di dunia, dan celah ini berada di endpoint bawaan (default), bukan fitur tambahan yang jarang dipakai. Tingkat keparahannya bahkan membuat WordPress.org mengaktifkan pembaruan otomatis paksa (forced auto-update) bagi situs yang terdampak.
Peneliti sengaja menahan detail teknis eksploitasinya untuk memberi ruang waktu bagi administrator melakukan patching. Sebagai gantinya, mereka merilis alat pengecekan resmi di wp2shell.com, meski situs ini sempat tidak bisa diakses akibat lonjakan trafik. Hingga saat ini belum ada laporan eksploitasi aktif secara masif, tapi sejumlah sumber menyebutkan exploit publik sudah mulai beredar.
Langkah mitigasi yang disarankan:
- Segera perbarui ke versi 6.9.5 atau 7.0.2
- Jika pembaruan belum memungkinkan, blokir akses anonim ke REST API atau blokir endpoint /wp-json/batch/v1 di level WAF
Yang membuat kasus ini berbeda, sumber masalahnya kali ini ada di inti (core) WordPress sendiri, bukan dari plugin pihak ketiga seperti biasanya — sehingga hampir seluruh situs WordPress berpotensi terdampak, terlepas dari plugin apa pun yang terpasang.
