Pada 10 Agustus 2026, ditemukan celah keamanan baru bernama XSS2Shell (CVE-2026-64638) pada halaman login WordPress (/wp-login.php). Celah ini sudah ada sejak WordPress versi 4.7, dan baru diperbaiki pada 6 Agustus lewat versi 7.0.3, 6.9.6, atau 6.8.7 (tergantung versi WordPress yang dipakai). Skor keparahannya (CVSS) 8.9, tergolong tinggi.

Jenis celahnya adalah reflected XSS, yaitu penyerang menyisipkan kode berbahaya lewat sebuah request, dan kode itu langsung "dipantulkan" kembali serta dijalankan oleh browser korban, tanpa tersimpan permanen di server.

Kenapa Ini Bisa Berbahaya, Tapi Tidak Semudah Itu Dieksploitasi

Meski skor CVSS-nya tinggi, celah ini tidak bisa dieksploitasi sembarangan. Ada tiga syarat yang harus terpenuhi bersamaan:

  1. Halaman login harus bisa diakses dari internet. Kalau halaman login situs sudah dibatasi aksesnya (misalnya hanya bisa diakses dari jaringan kantor), celah ini otomatis tidak bisa dijangkau dari luar.
  2. Admin yang sedang login harus terpancing membuka halaman jebakan buatan penyerang. Ini bukan sekadar klik satu tautan biasa. Data yang dikirim lewat metode POST, jadi penyerang perlu membuat halaman khusus yang otomatis mengirim request tersembunyi saat sesi login admin masih aktif. Biasanya ini dikirim lewat email atau pesan phishing.
  3. Akun yang jadi sasaran harus akun Administrator supaya dampaknya maksimal (bisa ambil alih penuh situs). Kalau yang kena akun dengan hak akses lebih rendah, dampaknya jauh lebih kecil.

Bagaimana Cara Kerjanya (Ringkas)

Secara teknis, alurnya kira-kira begini: penyerang mengirim username yang sengaja dibuat aneh/rusak formatnya ke halaman login. Karena WordPress menampilkan username tersebut kembali di pesan error tanpa penyaringan yang tepat, penyerang bisa menyisipkan elemen tersembunyi yang "membajak" salah satu script bawaan WordPress. Dari situ, penyerang bisa mencuri kredensial tambahan milik admin (disebut Application Password) lewat celah di REST API, lalu memasang plugin berbahaya dan akhirnya bisa menjalankan perintah di server.

Analogi sederhananya: penyerang menyelipkan "kartu identitas palsu" lewat resepsionis (halaman login), lalu memakai kartu itu untuk meminjam kunci cadangan yang ada di meja pegawai, sebelum akhirnya masuk ke ruang server.

Langkah yang Perlu Dilakukan

  • Segera update WordPress ke versi 7.0.3, 6.9.6, atau 6.8.7 sesuai versi yang sedang dipakai. Cek satu per satu setiap situs yang dikelola, jangan asumsi semua sudah ter-update otomatis.
  • Edukasi admin situs soal bahaya phishing: jangan pernah klik tautan menuju halaman admin yang dikirim lewat email atau pesan, lebih aman ketik alamat situsnya langsung di browser.
  • Batasi akses ke halaman login (/wp-login.php) hanya dari jaringan yang tepercaya, kalau memungkinkan secara teknis.
  • Matikan Application Password yang sudah tidak dipakai lagi.
  • Perlu diketahui, kalau situs sudah pakai proteksi seperti Cloudflare atau plugin keamanan seperti Wordfence, sebagian besar skenario serangan ini biasanya sudah otomatis tertangkal. Tapi update tetap wajib dilakukan, karena celahnya sendiri tetap ada di kode sampai di-patch.