Kerentanan kritis telah ditemukan di plugin Migrasi Cadangan untuk WordPress, yang memiliki lebih dari 90.000 instalasi. Kerentanannya, dilacak sebagai CVE-2023-6553 dan diberi peringkat dengan skor tingkat keparahan 9,8/10, memungkinkan penyerang yang tidak diautentikasi mendapatkan eksekusi remote code execution (RCE) dan mengambil alih situs web yang ditargetkan. Kerentanan ini ditemukan oleh Tim Nex, yang melaporkannya ke perusahaan keamanan WordPress Wordfence berdasarkan program bug bounty yang baru saja diluncurkan. Kerentanan ini berdampak pada semua versi plugin hingga dan termasuk Migrasi Cadangan 1.3.6, dan pelaku kejahatan dapat mengeksploitasinya dalam serangan dengan kompleksitas rendah tanpa interaksi pengguna. Penyerang dapat menyuntikkan dan mengeksekusi kode PHP sewenang-wenang menggunakan kelemahan pada Migrasi Cadangan, yang telah diunduh lebih dari 90.000 kali. Kerentanan muncul karena “penyerang mampu mengendalikan nilai yang diteruskan ke suatu penyertaan, dan kemudian memanfaatkannya untuk mencapai eksekusi kode jarak jauh,” menurut sebuah posting di situs Wordfence. Secara khusus, baris 118 dalam file /includes/backup-heart.php yang digunakan oleh plugin Migrasi Cadangan mencoba menyertakan file berdasarkan nilai konstanta BMI_ROOT_DIR, yang tunduk pada kontrol pengguna. Wordfence melaporkan kelemahan keamanan kritis tersebut kepada BackupBliss, tim pengembangan di balik plugin tersebut, dan patch dirilis dalam beberapa jam.
WordPress telah merilis versi 6.4.2 yang mengatasi kerentanan eksekusi kode jarak jauh (RCE) yang dapat dikaitkan dengan kelemahan lain untuk mencapai RCE. Kerentanan diidentifikasi di kelas yang diperkenalkan di WordPress 6.4 untuk meningkatkan kinerja CMS. Kerentanan tersebut dapat dikombinasikan dengan kelemahan injeksi objek yang berbeda, yang memungkinkan penyerang mengeksekusi kode PHP di situs web yang rentan. Meskipun kelemahannya tidak terlalu penting, karena kebutuhan akan injeksi objek pada plugin atau tema yang terinstal dan aktif, kehadiran rantai POP yang dapat dieksploitasi di inti WordPress secara signifikan meningkatkan risiko keseluruhan. WordPress menambahkan metode baru yang mencegah eksekusi fungsi yang rentan, sehingga mencegah eksploitasi. Pemilik situs dan administrator disarankan untuk memperbarui ke versi CMS tetap sesegera mungkin.
Wordfence membawa kerentanan keamanan kritis ke perhatian BackupBliss, tim yang bertanggung jawab untuk mengembangkan plugin Backup Migration, pada tanggal 6 Desember. Dengan cepat menanggapi laporan tersebut, para pengembang merilis patch dalam beberapa jam, meluncurkan versi plugin Backup Migration 1.3.8 yang diperbarui di hari yang sama. Namun, meskipun perbaikan segera dilakukan, statistik terbaru dari WordPress.org menunjukkan bahwa hampir 50.000 situs web terus beroperasi dengan versi plugin yang rentan, bahkan hampir seminggu setelah patch dirilis.
Sangat disarankan agar administrator situs web segera mengambil tindakan untuk mengamankan situs mereka dari potensi serangan yang mengeksploitasi kerentanan yang teridentifikasi, yang disebut sebagai CVE-2023-6553. Kelemahan keamanan kritis ini menimbulkan risiko yang signifikan, karena pelaku kejahatan yang tidak diautentikasi dapat mengeksploitasinya dari jarak jauh, sehingga berpotensi membahayakan integritas dan fungsionalitas situs web WordPress yang terpengaruh.
Selain masalah keamanan ini, administrator WordPress menghadapi kampanye phishing yang secara khusus menargetkan mereka. Kampanye ini bertujuan untuk menipu administrator agar tanpa disadari memasang plugin berbahaya dengan menggunakan penasihat keamanan WordPress palsu. Saran ini secara keliru merujuk pada kerentanan yang sebenarnya tidak ada, yang diidentifikasi sebagai CVE-2023-45124, dan bertindak sebagai umpan untuk memikat administrator yang tidak menaruh curiga agar membahayakan keamanan situs web mereka.
Khususnya, pada minggu sebelumnya, WordPress mengatasi masalah keamanan lainnya—kerentanan rantai Pemrograman Berorientasi Properti (POP). Kerentanan khusus ini berpotensi mengizinkan penyerang mengeksekusi kode PHP sewenang-wenang dalam kondisi tertentu. Risiko ini terutama terlihat pada instalasi multisitus bila dikombinasikan dengan plugin tertentu. Penyelesaian masalah keamanan yang tepat waktu menggarisbawahi pentingnya kewaspadaan dan tindakan proaktif dalam menjaga keamanan situs WordPress.
Sumber:
https://www.bleepingcomputer.com/news/security/50k-wordpress-sites-exposed-to-rce-attacks-by-critical-bug-in-backup-plugin/
https://www.darkreading.com/cloud-security/critical-wordpress-plugin-rce-bug-exposes-websites-takeover
https://www.securityweek.com/wordpress-6-4-2-patches-remote-code-execution-vulnerability/
https://www.bleepingcomputer.com/news/security/wordpress-fixes-pop-chain-exposing-websites-to-rce-attacks/
https://securityaffairs.com/155573/security/wordpress-6-4-2-rce.html