Pada 21 Juli 2026, CISA memasukkan dua kerentanan inti WordPress ke katalog Known Exploited Vulnerabilities pada hari yang sama: CVE-2026-60137 dan CVE-2026-63030.

Keduanya dicatat sebagai kerentanan yang saling dirantai. Digabungkan, keduanya memungkinkan penyerang tanpa otentikasi memperoleh eksekusi kode jarak jauh pada instalasi WordPress bawaan.

Pelajaran: skor satuan bisa menyesatkan

Ditinjau sendiri-sendiri, kedua celah tampak berbeda jauh bobotnya:

• CVE-2026-60137 — SQL Injection pada parameter author__not_in, skor CVSS 5.9 (Medium). Hanya terpicu bila plugin atau tema meneruskan masukan tak tepercaya.
• CVE-2026-63030 — route confusion pada endpoint batch REST API, skor CVSS 9.8 (Critical).

Yang pertama, bila dinilai dari skornya saja, mudah dianggap tidak mendesak. Namun bersama celah kedua ia menjadi bagian dari rantai yang berujung pada pengambilalihan penuh situs. Penyerang tidak bekerja dengan satu kerentanan pada satu waktu — mereka menyusun langkah, dan setiap celah kecil dapat menjadi mata rantai.

Mengapa ini relevan bagi Kutai Timur

WordPress adalah salah satu platform paling banyak dipakai Perangkat Daerah untuk situs resmi dan portal informasi. Penanganan insiden yang dilakukan Diskominfo Staper bersama KUTIM-CSIRT sepanjang 2026 menunjukkan pola yang konsisten: situs berbasis CMS yang tidak diperbarui merupakan pintu masuk yang paling sering dipakai untuk penyisipan konten judi daring, SEO spam, dan penanaman akses ilegal.

Dampaknya tidak berhenti pada satu situs. Domain .go.id yang tercemar konten judi daring akan menurunkan kepercayaan publik terhadap seluruh layanan digital pemerintah daerah, dan pemulihan reputasi di mesin pencari memerlukan waktu jauh lebih lama daripada pembersihan berkasnya.

Yang perlu dilakukan sekarang

1. Perbarui WordPress ke 6.8.6, 6.9.5, atau 7.0.2 sesuai jalur versi yang dipakai.
2. Aktifkan pembaruan otomatis untuk rilis keamanan inti WordPress.
3. Hapus — bukan sekadar nonaktifkan — plugin dan tema yang tidak dipakai.
4. Periksa berkas dan akun yang muncul tanpa diketahui pengelola sejak pertengahan Juli 2026.
5. Pastikan akun basis data yang dipakai WordPress hanya memiliki hak seperlunya.

Panduan pencegahan penyisipan judi daring pada situs pemerintah tersedia pada halaman Panduan KUTIM-CSIRT.

Sumber

• NVD – CVE-2026-60137
• NVD – CVE-2026-63030
• CISA Known Exploited Vulnerabilities Catalog

KUTIM-CSIRT menerbitkan ringkasan perkembangan ancaman siber sebagai bahan kewaspadaan bagi Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur. Laporan insiden dapat disampaikan melalui halaman Lapor Insiden.