Peringatan Ancaman

WordPress telah merilis pembaruan keamanan untuk mengatasi kerentanan Cross-Site Scripting (XSS) pra-autentikasi yang ditemukan pada halaman login dan berdampak pada seluruh versi WordPress sebelum versi yang telah ditambal. Kerentanan ini terdaftar sebagai CVE-2026-64638 dengan skor CVSS 8.9 (High Severity).

Menurut peneliti dari perusahaan keamanan pwn.ai, kelemahan tersebut memungkinkan penyerang menyisipkan kode JavaScript berbahaya melalui parameter nama pengguna pada proses login yang gagal. Serangan ini tidak memerlukan akun ataupun hak akses awal ke sistem WordPress. Apabila payload berhasil dijalankan, penyerang dapat memanfaatkan interaksi administrator yang sedang login untuk meningkatkan serangan hingga mencapai eksekusi kode PHP di server.

Detail Teknis Singkat

Kerentanan muncul akibat inkonsistensi proses sanitasi input pada penanganan nama pengguna di halaman login WordPress. Peneliti menemukan bahwa input tertentu dapat lolos dari mekanisme penyaringan dan kemudian diproses sebagai elemen HTML yang valid, sehingga menghasilkan DOM injection pada halaman login. Elemen yang disisipkan kemudian dapat memanipulasi JavaScript bawaan WordPress dan mengarahkan aplikasi untuk menjalankan permintaan yang dikendalikan penyerang.

Dalam skenario yang didemonstrasikan peneliti, rantai eksploitasi yang disebut XSS2Shell dapat dimanfaatkan untuk memperoleh kredensial Application Password, mengunggah plugin berbahaya, dan akhirnya menjalankan kode PHP pada server WordPress yang menjadi target.

Dampak Potensial

Apabila berhasil dieksploitasi hingga tahap akhir, penyerang berpotensi:

• Menjalankan kode PHP arbitrer pada server WordPress.
• Mengakses kredensial basis data yang tersimpan dalam file wp-config.php.
• Membuat akun administrator secara persisten.
• Mengubah atau merusak konten situs web.
• Mengakses file dan informasi sensitif yang dapat dibaca oleh proses PHP.
• Menjalankan perintah sistem operasi sesuai hak akses proses web server.

Status dan Mitigasi

WordPress telah memperbaiki kerentanan ini melalui rilis WordPress 7.0.3 pada 6 Agustus 2026, serta melakukan backport perbaikan hingga cabang versi 4.7. Pengguna sangat disarankan untuk segera memperbarui instalasi WordPress ke versi terbaru yang tersedia.

WordPress juga menyampaikan bahwa situs yang mengaktifkan automatic background updates seharusnya menerima pembaruan keamanan ini secara otomatis. Namun, versi WordPress yang lebih lama dari 4.7 tetap terdampak dan tidak lagi mendapatkan dukungan pembaruan keamanan resmi.

Hingga saat artikel dipublikasikan, belum terdapat laporan eksploitasi kerentanan ini secara aktif di dunia nyata (in-the-wild exploitation).

Rekomendasi

1. Segera lakukan pembaruan WordPress ke versi 7.0.3 atau versi terbaru yang tersedia.
2. Verifikasi keberhasilan proses pembaruan pada seluruh aset WordPress yang dikelola.
3. Batasi akses administratif dan terapkan prinsip least privilege.
4. Pantau log autentikasi dan aktivitas unggah plugin untuk mendeteksi indikasi penyalahgunaan.
5. Terapkan Web Application Firewall (WAF) dan mekanisme monitoring keamanan sebagai lapisan pertahanan tambahan.

Referensi: https://thehackernews.com/2026/08/new-wordpress-pre-auth-xss-could-lead.html