wp2shell: RCE pada WordPress Standar, Ditemukan dalam Sepuluh Jam dengan Biaya $25

Pada 17 Juli 2026, Searchlight Cyber menerbitkan wp2shell, sebuah rantai eksekusi kode jarak jauh pra-autentikasi di inti WordPress yang tidak memerlukan plugin, tema, maupun login. Permintaan anonim terhadap instalasi standar sudah cukup: "Serangan ini tidak memiliki prasyarat dan dapat dieksploitasi oleh pengguna anonim dalam instalasi WordPress standar tanpa plugin," demikian bunyi advisory perusahaan tersebut. Rantai ini menggabungkan dua bug — CVE-2026-63030, cacat kebingungan rute pada endpoint batch API REST WordPress yang oleh advisory proyek dilabeli kritis, dan CVE-2026-60137, injeksi SQL pada author__not_in parameter WP_Query yang dilabeli sedang. WordPress merilis WordPress 7.0.2 pada hari yang sama, dan advisory proyek mencantumkan WordPress 6.9.5, WordPress 6.8.6, dan WordPress 7.1 beta2 sebagai membawa perbaikan yang sama. Searchlight mengutip perkiraan lebih dari 500 juta situs WordPress. Peneliti di balik rantai tersebut, Adam Kues, mengatakan bahwa temuan itu muncul dari sebuah run GPT-5.6 Sol Ultra yang dibangun berdasarkan prompt yang pernah diterbitkan OpenAI untuk soal matematika: hingga empat agen, setidaknya enam jam untuk perburuan dan sekitar empat jam lagi untuk eskalasi, sekitar $25 biaya penggunaan model. Catatan tersebut diajukan sebagai temuan penelitian — tingkat keparahan tinggi pada skala arsip itu sendiri, keyakinan tingkat A, tanpa dampak dunia nyata yang tercatat, bertanggal satu hari — dan the Orca AI Incident Archive memuatnya dengan dokumen-dokumen primer yang ditautkan di bawahnya.

Pengungkapan itu terkoordinasi. Searchlight menahan rincian mekanisme pada 17 Juli dan memberi para pembela akhir pekan untuk melakukan pemutakhiran; Kues menerbitkan laporan teknis lengkap pada 20 Juli. Saat itu, eksploitasi berantai sudah direproduksi secara independen: Searchlight menyatakan Calif dan Hacktron membangun ulang rantai lengkap sebelum proof of concept lain muncul di GitHub. Dua pemberitahuan keamanan WordPress sendiri menyebutkan versi yang diperbaiki yang sama, dan CISA menambahkan kedua CVE ke katalog Known Exploited Vulnerabilities pada 21 Juli.

Dua bug, dan array yang kehilangan sinkronisasi

Titik masuk itu adalah fitur, bukan kesalahan. WordPress 5.6 memperkenalkan endpoint batch pada 2020 sehingga klien dapat mengirim beberapa permintaan REST virtual di dalam satu permintaan HTTP, misalnya untuk mengganti judul sekumpulan pos sekaligus. Endpoint tersebut dapat dijangkau terlepas dari apakah pemanggil terautentikasi, dan setiap subpermintaan membawa autentikasi apa pun yang diberikan pemanggil. Permintaan langsung ke rute REST WordPress menjalankan alur empat langkah: periksa parameter yang diperlukan dan valid, sanitasi parameter tersebut, jalankan callback izin, lalu eksekusi callback endpoint. Endpoint mengandalkan alur tersebut untuk asumsi jenisnya — bahwa ID pos adalah bilangan bulat, bahwa judul adalah string.

API batch membagi pipeline menjadi dua, memvalidasi setiap subrequest dalam satu loop dan mengeksekusinya dalam loop kedua, serta mempertahankan dua array, $matches dan $validation, yang entri-entrinya dimaksudkan untuk sejajar indeks per indeks. Di class-wp-rest-server.php, seperti yang dijelaskan Kues, subrequest yang sendirinya merupakan error WordPress akan ditambahkan ke $validation lalu mencapai continue, melewati baris yang menambahkan ke $matches. Sejak titik itu setiap match bergeser mundur satu posisi. Loop eksekusi memasangkan subrequest pada satu indeks dengan validasi yang tercatat pada indeks tersebut, tetapi handler-nya cocok dengan rute yang berbeda — jadi sebuah parameter diperiksa terhadap aturan satu endpoint lalu dieksekusi oleh kode endpoint lain.

Itulah yang mengubah parameter daftar yang tampak biasa menjadi injeksi. Rute koleksi posts memetakan argumen publiknya author_exclude ke author__not_in. Ketika nilainya berupa array, WordPress menjalankan absint pada setiap elemen dan mengurutkannya; ketika nilainya berupa skalar, nilai itu digabungkan tanpa diubah ke dalam fragmen SQL yang menjadi NOT IN ($author__not_in). String seperti 0) OR 1=1 -- dengan demikian masuk ke dalam teks kueri. Jika dipanggil secara normal, rute akan menolaknya, karena author_exclude harus berupa array bilangan bulat; panggilan batch yang tidak tersinkronisasi itulah yang membiarkan string lolos.

Dua hambatan masih tersisa, dan keduanya diatasi dengan menyusun trik secara bertingkat. API batch menolak permintaan GET, dan injeksi berada pada rute GET; dan validasi metode permintaan itu sendiri diimplementasikan sebagai validasi parameter, yang dapat dilewati oleh desinkronisasi yang sama. Payload yang dipublikasikan Kues mengirim subpermintaan luar yang cacat untuk mendesinkronkan pemeriksaan metode, lalu batch dalam yang subpermintaan keduanya membawa author_exclude yang berbahaya ke handler yang tidak memvalidasinya, lalu GET yang menjalankannya. Injeksi berbasis UNION mengembalikan nilai basis data sembarang di dalam baris yang berbentuk seperti postingan biasa.

Run model: prompt matematika, diarahkan ke basis kode

Kues tidak menulis prompt itu dari nol. OpenAI telah menerbitkan prompt yang digunakannya saat mengerjakan konjektur Cycle Double Cover, dan Kues menulis bahwa ia telah membaca model tersebut baru-baru ini telah memecahkan konjektur itu dan bahwa tidak ada orang di komunitas keamanan yang tampaknya membicarakan prompt tersebut. Alasannya adalah jika prompt itu cukup baik untuk matematika yang sulit, kemungkinan besar prompt itu juga cukup baik untuk riset keamanan. Ia mengadaptasinya dan mengarahkannya ke WordPress.

Pengaturannya sengaja dibuat sempit. Ia mengkloning rilis stabil WordPress terbaru ke dalam direktori bernama main/ dan menghapus direktori .git miliknya, dengan memberi tahu model agar tidak menggunakan catatan perubahan, riwayat git, atau internet terbuka untuk membandingkan kode dengan versi yang telah ditambal — alasan yang ia nyatakan adalah bahwa untuk penemuan kerentanan baru, merujuk pada riwayat atau web merupakan pemborosan token. Sebuah direktori third_party/ kosong ditawarkan agar model dapat mengkloning dependensi seperti sumber PHP atau MySQL jika ia menilai bahwa rantai tersebut membutuhkan bug di pustaka-pustaka di bawah WordPress. Tugas ditetapkan sebagai RCE pra-autentikasi dalam penerapan produksi tipikal di MySQL, dengan hingga empat agen dan setidaknya enam jam. Kues menulis bahwa ia menyatakan persyaratan konfigurasi secara eksplisit karena jika tidak, model "curang" — dengan memilih opsi konfigurasi yang sangat tidak mungkin, atau dengan merekayasa prasyarat yang tidak akan pernah bisa dicapai penyerang.

Yang muncul kembali, dalam output yang sedang berjalan, adalah klaim tentang SQL injection pra-autentikasi. Kues meragukannya: WordPress termasuk target yang paling banyak diaudit sepanjang masa, tulisnya, dan belum memiliki kerentanan pra-autentikasi yang berarti pada dekade itu. Ia memasang instans WordPress standar di server jarak jauh dan meminta model mencuri email administrator; dalam beberapa menit model mencetak alamat yang ia gunakan untuk menyiapkan instans tersebut. Ia kemudian bertanya apakah injeksi hanya-baca dapat dieskalasi, dan sekitar empat jam kemudian model menjawab bahwa bisa — menjadi administrator, tanpa memecahkan kata sandi apa pun dan tanpa komputasi offline.

Perhitungan biayanya sendiri: 50% dari kuota penggunaan mingguan, yang ia perkirakan sekitar $25 secara pro-rata dari langganan $200, untuk sebuah eksploit yang dihasilkan dalam waktu hanya sedikit lebih dari sepuluh jam. Bagian manusianya tidak gratis — Kues menghabiskan hari berikutnya untuk mengurai apa yang telah dilakukan model tersebut, dan menulis bahwa pekerjaan pasca-eksploitasi membutuhkan waktu jauh lebih lama untuk ia pahami daripada waktu yang dibutuhkan untuk menghasilkannya. Putusannya sangat blak-blakan dan dibatasi secara sempit: "Saya tidak membuat klaim umum, tetapi saya dapat mengatakan dengan keyakinan penuh bahwa tidak ada peneliti keamanan yang dapat menemukan dan menyelesaikan rantai eksploit ini dalam 10 jam tanpa AI."

Dari SELECT hanya-baca hingga administrator

Eskalasi adalah bagian catatan yang paling penting, karena di situlah pembacaan basis data berubah menjadi kendali atas server. Catatan Kues menggambarkannya sebagai rangkaian enam langkah, yang masing-masing menggunakan fitur WordPress biasa untuk menyerang fitur lainnya.

Pertama, racuni cache pos dalam memori. WordPress menyimpan cache objek WP_Post per permintaan sehingga pos yang sama yang dirujuk beberapa kali dalam satu permintaan hanya memerlukan satu perjalanan bolak-balik ke basis data. Injeksi SQL dapat membuat pos palsu, sehingga penyerang mengendalikan secara persis apa yang di-cache — tetapi pos-pos palsu itu bukan baris dalam basis data, dan cache mati bersama permintaan.

Kedua, ubah pos yang direkayasa menjadi baris nyata. Fitur embed WordPress menyimpan embed yang telah diresolusikan di basis data sebagai pos dengan tipe oembed_cache. Menyematkan pos lokal dengan jalur relatif, seperti dalam [embed]/?p=S[/embed], membuat WordPress melewati pengambilan HTTP dan tidak pernah memeriksa bahwa pos yang dirujuk ada, sehingga sebuah baris dibuat. Tiga embed semacam itu dengan token string kueri yang berbeda menghasilkan tiga hash cache yang berbeda, dan begitulah cara penyerang mendapatkan beberapa baris untuk digunakan.

Ketiga, akali satu bidang yang tetap tidak berubah. Ketika versi dalam memori dan versi basis data dari sebuah pos tidak cocok, WordPress merekonsiliasikannya dengan panggilan yang secara eksplisit menetapkan post_content dari hasil embed. Segala hal tentang pos tersebut dikendalikan oleh penyerang kecuali kontennya, yang justru merupakan bidang yang digunakan customize_changeset untuk menyimpan JSON perubahan tema dan situs yang tertunda.

Keempat, gadget siklus.Pos memiliki induk, dan WordPress menolak siklus: filter wp_insert_post_parent menelusuri pohon ke atas dan, saat menemukan loop, memanggil pembaruan yang menetapkan post_parent menjadi nol. Panggilan tersebut tidak menimpa post_content, sehingga versi dalam memori yang direkayasa tetap bertahan saat rekonsiliasi — sebuah changeset, dengan JSON-nya utuh, didukung oleh baris nyata.

Kelima, pinjam kewenangan administrator. Changeset yang statusnya menyatakan dijadwalkan untuk masa depan tetapi tanggalnya berada di masa lalu akan langsung diterapkan. Setiap entri dalam JSON-nya menyebutkan sebuah user_id, dan entri dalam rantai Kues menyebutkan user_id 1, yaitu administrator, sehingga WordPress untuk sementara mengadopsi identitas tersebut untuk menerapkan perubahan itu. Perubahan pertama adalah pembaruan yang tampak tidak berbahaya pada nav_menus_created_posts.

Keenam, putar ulang permintaan sebagai identitas tersebut. Menerbitkan sebuah pos memicu aksi yang dinamai secara dinamis, {status}_{post_type}. Karena pos tersebut direkayasa, status dan tipe itu dapat berupa apa saja — termasuk parse dan request, yang menghasilkan parse_request hook dan memulai ulang alur permintaan dari awal selagi identitas administrator yang dipinjam masih berlaku. Permintaan batch asli berisi subpermintaan yang membuat administrator baru; permintaan itu gagal pada lintasan pertama sebagai tamu dan berhasil pada pemutaran ulang. Dari sana penyerang masuk sebagai akun baru tersebut dan mengunggah plugin pintu belakang dari berkas ZIP, yang merupakan eksekusi kode.

Teknik ini memiliki syarat yang menyertainya. The Hacker News, mengutip Cloudflare, melaporkan bahwa CVE-2026-63030 menghasilkan eksekusi kode jarak jauh hanya ketika cache objek persisten tidak digunakan; injeksi itu sendiri sudah ada sejak WordPress 6.8, sedangkan rantai lengkapnya membutuhkan 6.9 atau lebih baru. Instalasi standar tidak memiliki cache objek persisten, itulah sebabnya frasa "tanpa prasyarat" dari Searchlight dan kualifikasi Cloudflare menggambarkan kasus default yang sama dari arah yang berbeda.

Apa yang ditetapkan oleh dokumen-dokumen utama

Advisory keamanan resmi WordPress sendiri merupakan bukti penguat terkuat, karena di dalamnya vendor mengakui mekanisme dan merilis perbaikan. GHSA-ff9f-jf42-662q, dinilai kritis, menjelaskan kelemahan kebingungan rute batch pada REST API di WordPress 6.9 dan versi lebih tinggi yang dapat digabungkan dengan injeksi untuk mencapai eksekusi kode, dan memberikan kredit kepada Adam Kues di Assetnote dan Searchlight Cyber. GHSA-fpp7-x2x2-2mjf, dinilai sedang, menjelaskan author__not_in sebagai bentuk injeksi yang muncul sejak WordPress 6.8 dan versi lebih tinggi, dan menyatakan bahwa kedua masalah diperbaiki di WordPress 7.0.2, WordPress 6.9.5, WordPress 6.8.6 dan WordPress 7.1 beta2. Catatan NVD untuk kedua CVE, yang dinilai oleh CNA WPScan dan bukan oleh NIST, mencantumkan skor 9.8 untuk CVE-2026-63030 dengan vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, dan 5.9 untuk CVE-2026-60137 dengan AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N — bug yang dapat dijangkau melalui jaringan dan tidak memerlukan hak istimewa pada kasus pertama, serta bug yang memerlukan kompleksitas serangan tinggi dan hanya menghasilkan dampak kerahasiaan pada kasus kedua. Bidang tingkat keparahan arsip untuk entri ini tercatat tinggi, sementara WordPress melabeli kelemahan batch tersebut kritis; keduanya adalah skala terpisah yang diterapkan pada rantai utuh dan pada satu komponen, bukan perbedaan pendapat tentang bug itu sendiri.

Entri katalog CISA, sebagaimana tercermin dalam bidang pengayaan NVD, ditambahkan pada 21 Juli 2026 dengan tenggat waktu perbaikan 24 Juli untuk CVE-2026-63030 dan 4 Agustus untuk CVE-2026-60137. CISA menamai yang pertama "Kerentanan Konflik Interpretasi WordPress Core" dan yang kedua "Kerentanan Injeksi SQL WordPress Core". Searchlight juga menerbitkan pemeriksa publik di wp2shell.com agar operator dapat menguji sebuah instans tanpa menunggu tanda tangan pemindai.

Reproduksi independen didokumentasikan oleh Searchlight sendiri dan karenanya merupakan klaim tentang pihak ketiga, bukan laporan pihak ketiga: menurut tulisan 20 Juli, Calif dan Hacktron membangun ulang rantai penuh sebelum proof of concept lain muncul di GitHub. Yang dapat diverifikasi secara independen adalah efeknya — proof of concept, lalu lintas eksploitasi, dan telemetri vendor dalam hitungan hari, yang dibahas di bawah.

Apa yang diklaim tetapi belum ditetapkan

Dua kredit untuk satu injeksi tidak dapat diselaraskan dalam catatan publik. Advisory WordPress untuk CVE-2026-60137 menyatakan bahwa celah tersebut “ditemukan dan diungkapkan secara bertanggung jawab sebagai tim oleh TF1T, dtro, dan haongo”. Uraian Searchlight menyajikan injeksi pra-autentikasi yang sama dengan yang muncul dari eksekusi modelnya, dan tidak menyebutkan tim tersebut; advisory WordPress hanya memberi kredit kepada Kues untuk kebingungan rute batch, dan tidak menyebutkan model. Kedua dokumen tidak menjelaskan tumpang tindih tersebut, dan tidak ada yang ditemukan artikel ini yang menyelesaikannya — kemungkinan bahwa keduanya merupakan temuan independen atas bug yang sama tidak dikecualikan, dan kemungkinan bahwa salah satu laporan merupakan penemuan kembali yang lebih belakang juga tidak dapat dipastikan. Catatan tersebut tidak memutuskannya, dan artikel ini juga tidak.

Angka di judul pos Searchlight tanggal 20 Juli tidak didukung oleh isi artikelnya sendiri. Bunyinya, "Broker eksploitasi membayar $500,000 untuk RCE WordPress. Saya menemukan satu dengan GPT5.6 Sol Ultra dan $25". Isi artikel mendokumentasikan $25 dan sepuluh jam secara spesifik; tidak memuat nama broker, tawaran, korespondensi, maupun sumber untuk angka $500,000. Tidak ada laporan independen yang ditemukan untuk tulisan ini yang mengonfirmasi harga yang dibayarkan atau ditawarkan untuk wp2shell. Bacalah $500,000 sebagai bingkai judul, bukan sebagai harga pasar yang mapan.

Cakupan entri arsip itu sendiri lebih sempit daripada kisah di sekitarnya. Entri ini mencatat temuan riset pada hari pengungkapan, menandai tidak adanya kerugian di dunia nyata, dan bertanggal satu hari saja, 17 Juli 2026. Itu bukan klaim bahwa tidak terjadi apa pun setelahnya: lalu lintas eksploitasi dilaporkan dalam beberapa jam setelah advisori, dan CISA mencatat kedua CVE empat hari kemudian. Penanda itu mencakup apa yang dijelaskan entri—penemuan dan pengungkapan terkoordinasi—dan eksploitasi berikutnya didokumentasikan oleh pihak lain berdasarkan bukti mereka sendiri, di bawah.

Eksploitasi setelah pengumuman

Jake Knott, peneliti keamanan utama di watchTowr, mengatakan kepada The Hacker News bahwa "pada dini hari Sabtu (UTC), eksploitasi yang berhasil sudah berlangsung secara luas, awalnya menggunakan kode eksploitasi publik untuk mengeksfiltrasi kredensial yang di-hash, dengan eksekusi kode jarak jauh menyusul setelah rincian tambahan dipublikasikan." Laporan yang sama mengutip telemetri KEVIntel yang menautkan 13 alamat IP unik, dari Swiss, Jerman, Britania Raya, Indonesia, Lituania, Belanda, dan Singapura, dengan eksploitasi CVE-2026-63030, dan mengutip pendiri KEVIntel, Ryan Dewhurst, yang mengatakan bahwa permintaan-permintaan tersebut cocok dengan proof of concept yang tersedia untuk publik dan bahwa payload blind, berbasis UNION, dan berbasis boolean semuanya digunakan.

Peneliti Wiz, Shahar Dorfman dan Gili Tikochinski, yang mempublikasikan pada 20 Juli, memberikan skala atas hal itu: 60% organisasi yang menggunakan WordPress memiliki setidaknya satu instans rentan pada saat CVE dipublikasikan dan 25% mengekspos server rentan ke internet, turun menjadi 50% dan 10% dalam 24 jam ketika penambalan dimulai. Mereka mencatat unggahan plugin berbahaya melalui penginstal admin, enumerasi pengguna terhadap endpoint users, upaya local file inclusion terhadap wp-config, dan akses panel admin yang mengembalikan HTTP 200 — tanda login berhasil, bukan probe. Malware yang mereka temukan mencakup backdoor PHP satu baris yang minimal dan webshell 150 KB yang disamarkan sebagai plugin keamanan WordPress sah bernama CMSmap, dengan modul manajemen file, akses basis data, pemindaian port, dan eskalasi hak istimewa.

Wiz juga mencatat adanya batas atas apa yang dapat disimpulkan. Pemindaian bervolume tinggi tanpa pasca-eksploitasi merupakan hal yang umum, konsisten dengan pemindaian massal oportunistik dan dengan pemindaian keamanan yang sah, dan perusahaan tersebut menyatakan bahwa pihaknya tidak mengidentifikasi pergerakan lateral atau eksfiltrasi data. Itu adalah pernyataan tentang apa yang ditunjukkan oleh telemetri satu vendor, bukan temuan bahwa tidak ada yang diambil.

Apa yang berubah setelahnya, dan apa yang tetap terbuka

Bagi operator, jalur responsnya singkat. Memperbarui ke WordPress 7.0.2, WordPress 6.9.5, atau WordPress 6.8.6 adalah solusinya. Alternatif darurat Searchlight, bagi situs yang tidak dapat segera memperbarui, adalah memblokir akses anonim ke batch API — baik dengan memasang plugin yang memblokir akses anonim ke REST API sepenuhnya, atau dengan memblokir /wp-json/batch/v1 dan ?rest_route=/batch/v1 di firewall aplikasi web. Perusahaan memperingatkan bahwa keduanya dapat memengaruhi penggunaan sah situs dan harus diperlakukan sebagai tindakan sementara hingga pembaruan tersedia. Pemeriksa publik di wp2shell.com menguji instans secara langsung. Entri katalog CISA menambahkan tenggat kepatuhan: remediasi paling lambat 24 Juli untuk CVE-2026-63030 dan paling lambat 4 Agustus untuk CVE-2026-60137.

Untuk pertanyaan penelitian, bagian yang belum terselesaikan adalah apa yang sebenarnya disumbangkan model relatif terhadap operatornya. Kues tepat mengenai pembagiannya: model menghasilkan rantai tersebut dalam waktu sekitar sepuluh jam, dan memahaminya membutuhkan waktu lebih lama baginya daripada waktu yang diperlukan untuk menghasilkannya. Ia menolak klaim umum dan hanya mengatakan bahwa hasil sepuluh jam itu tidak dapat dicapai oleh manusia tanpa bantuan. Prompt itu sendiri bukan rahasia — prompt tersebut berasal dari salah satu yang diterbitkan OpenAI, dan Searchlight mereproduksi strukturnya dalam tulisan tersebut, termasuk instruksi untuk mengabaikan riwayat versi dan persyaratan bahwa eksploit harus berfungsi dalam konfigurasi produksi yang tipikal. Apakah resep itu dapat dialihkan ke basis kode lain adalah tepat pertanyaan yang Kues katakan tidak sedang ia jawab, dan belum ada eksekusi kedua yang diterbitkan.

Apa yang tidak dapat dipastikan dari catatan tersebut karena itu sempit tetapi berdampak besar: pihak mana dari dua pihak yang disebut berjasa yang pertama menemukan injeksi itu, apakah ada broker yang pernah membayar angka yang disebut di judul, dan apa, jika ada, yang sebenarnya diambil webshell yang diamati Wiz dari situs yang mereka masuki. Mengenai poin terakhir, satu-satunya pernyataan publik adalah pernyataan Wiz, bahwa Wiz tidak mengidentifikasi adanya pergerakan lateral atau eksfiltrasi data — ketiadaan bukti dari satu sudut pandang, yang disampaikan sebagai demikian.