Serangan Hebat 400 Juta Situs WordPress Terbuka Dibobol

BeritaLokal, Jakarta – Penipuan digital memotong pundak dunia maya pada Senin (20/7/2026), ketika para peretas secara lincah menyerang milyaran situs WordPress yang masih terbuka bersenjata kelemahan. 400 Juta Situs Web WordPress Rentan Dibobol Hacker menjadi headline utama, menegaskan betapa luasnya dampak exploiter yang meretas platform dengan cerdik.

Peretas memanfaatkan celah mendalam yang tersembunyi di dalam inti WordPress versi 6.9.0 hingga 6.9.4 dan 7.0.0 hingga 7.0.1. Pada saat minggu lalu, pihak WordPress merilis patch darurat untuk dua celah kritis, lalu memaksakan pembaruan otomatis kepada jutaan pengguna. Namun, ketika serangan ini meledak, perusahaan keamanan siber melalui Patchstack, Hexastrike, dan WatchTowr menegaskan bahwa serangan tersebut tidak terhitung usia menaklukkan ribuan situs dalam hitungan jam. Kepanikan menyebar karena hacker mampu menginjeksi kode berbahaya, memampatkan data, dan menyalakan backdoor untuk akses jangka panjang.

Tambahannya, Data WordPress Global menunjukkan lebih dari 400 juta situs masih memakai versi rentan, meski indikator ini bisa meremehkan jumlah situs yang telah men-update. Analisis konsultan keamanan Daniel Card mengungkap statistik sampel dari 3.500 situs, di mana kurang dari 15 % teridentifikasi rentan. Jika diskalakan ke seluruh populasi WordPress, angka tersebut mencapai sekitar 90 juta situs pandangan rawan. Demikian, 400 Juta Situs Web WordPress Rentan Dibobol Hacker bukan sekadar kesalahan catatan, melainkan realitas yang melibatkan miliaran pengunjung dan transaksi anonim.

Pengaruh Keamanan dan Dampak Ekosistem

Kontemporer pusat WordPress menghadapi tekanan menuju pemulihan tak lama setelah patch beredar. Peneliti merinci dua faktor penting bagi pencegahan: penerapan pembaruan otomatis, lalu mengerahkan perlindungan jaringan via Cloudflare. Meski sebagian besar situs host by Automattic telah sekeliling aman, tantangan tetap ada bagi website independen yang mengandalkan update manual. Selama periode patches, RubyKit, Level43, dan pengembang pihak ketiga bersaing untuk menempatkan sinkronisasi cadangan. Kelanjutan pembaharuan menyelamatkan sebagian kecil, tetapi tidak semua.

Sebagai bagian dari respons, Automattic mengumumkan langkah keras: “Ketika pembaruan kode diumumkan, kami segera menerapkannya pada jutaan situs,” tambah juru bicara Megan Fox. Kesadaran lalu mengedukasi pengguna lain tentang keharusan menekankan versi WordPress 7 point ke atas. Tanggapan ini tidak terlepas dari penggunaan Cloudflare sebagai firewall tingkat aplikasi, dan pengawasan keamanan berkelanjutan melawan serangan DDoS.

Menggali WP2Shell Poin Kerentanan

Salah satu celah fatal dalam serangan ini teridentifikasi oleh Adam Kues (Searchlight Cyber), yang menamai vektor serangan utama sebagai WP2Shell. Akan menyesatkan bagi para administrator yang menilai potensi kerusakan cukup ringan, karena WP2Shell memungkinkan peretas untuk mengambil alih kontrol server sekaligus mengubah file sistem tanpa proses autentikasi. Jika digabungkan dengan bug lain, potensi kerusakan tidak hanya mengancam integritas situs, tapi juga sistem host secara menyeluruh.

Di balik keparahan ini, para peneliti menunjukkan bahwa WP2Shell memanfaatkan kelemahan izin file yang terlalu longgar dalam plugin default. Hasilnya, kode PHP dapat dilampirkan ke Area Admin Area, yang kemudian berkembang menjadi backdoor lengkap, memaksa Users menjadi Administrator. Kelebihan informasi sistem-seperti password hash dan buku walikunci-selanjutnya memberi akses ke database, memungkinkan exploit otomatis seperti credential stuffing atau sql injection. Waktu respons sangat penting; patch darurat telah diizinkan supaya prosedur cepat.

Lebih lanjut, meskipun WordPress kini telah menambahkan mekanisme pembaruan paksa, jumlah situs yang belum melakukan update tetap tinggi secara statistik. Padahal, WordPress sendiri menyediakan metode audit keamanan internal untuk mengidentifikasi versi legacy secara real-time. Kombinasi CPS (Continuous Patch Service) dengan enkripsi file dan whitelist extension dapat meminimalkan kerentanan.

Selama masa kegelisahan ini, komunitas WordPress diminta berhati-hati dengan meninjau setiap plugin, theme, dan API publik. Peneliti menekan pentingnya cek otomatis menggunakan WPScan, serta pemantauan log server. Untuk upaya pertahanan, Cloudflare dan Imperva menyediakan fitur pemfilteran serangan berbasis AI untuk mendeteksi pola anomali serta memblokir traffic mencurigakan.

Dengan semua terlampir, penting bagi pemilik website dan pengembang di bawah banner WordPress untuk memperbaharui sertifikat SSL, memperketat akses FTP, dan menghindari penggunaan plugin relict. Jika Anda menutupi website Anda pada small-business or e-commerce, syarikat harus mengintegrasikan dua lapisan perlindungan: core WordPress patch + plugin keamanan berstandard industri. Kebutuhan diberdayakan tidak akan terlepas dari tren keamanan 2026, khususnya untuk situs multi-bahasa atau melakukan pembayaran daring.

BeritaLokal terus memantau perkembangan serangan ini, menawarkan beragam sumber daya edukasi serta panduan langkah demi langkah bagi pengguna yang belum migrasi ke versi terbaru. Pencarian ini ramah bagi semua segmen industri, termasuk blogger, skemer online, dan digital marketer yang setia menandai situsnya pada platform WordPress.