KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengelola situs web berbasis WordPress untuk memeriksa penggunaan plugin ACPT (Pro) — Custom Post Types dan menindaklanjuti CVE-2026-32566, kerentanan privilege escalation berskor CVSS 9,8 (Critical).
Ikhtisar
CVE-2026-32566 adalah kerentanan Incorrect Privilege Assignment (CWE-266) dengan vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Kerentanan terdapat pada plugin ACPT (Pro) versi 2.0.63 dan seluruh versi sebelumnya.
ACPT (Advanced Custom Post Type) adalah plugin untuk membuat tipe konten khusus di WordPress — misalnya "Layanan", "Pengumuman", atau "Produk Hukum" — di luar tipe bawaan berupa pos dan halaman. Plugin semacam ini lazim dipakai pada portal instansi yang menampilkan data terstruktur.
Kelemahannya terletak pada pembagian hak istimewa yang keliru pada fungsi plugin: sebuah fungsi sensitif tidak dilindungi pemeriksaan kewenangan yang memadai. Akibatnya kendali penuh atas situs dapat berpindah ke tangan penyerang.
PR:N (tanpa hak akses) serta UI:N (tanpa interaksi pengguna) — artinya penyerang tanpa akun apa pun dapat langsung mengeksploitasinya dari internet. Kesimpulannya: risikonya lebih berat, bukan lebih ringan, dan penanganannya tidak boleh ditunda dengan alasan "penyerang toh harus punya akun dulu".
Dampak
- Penyerang dapat menaikkan hak aksesnya hingga tingkat administrator situs WordPress.
- Dengan hak administrator, penyerang dapat memasang plugin atau tema berisi backdoor, menyunting berkas tema, membuat akun pengelola baru, serta mengubah maupun menghapus seluruh isi situs.
- Vektor
C:H/I:H/A:Hmenunjukkan kerahasiaan, integritas, dan ketersediaan sama-sama terdampak penuh — ini setara dengan pengambilalihan situs secara utuh. - Berdasarkan pengalaman penanganan insiden di lingkungan Pemerintah Kabupaten Kutai Timur, pengambilalihan situs WordPress melalui plugin rentan adalah pintu masuk yang paling sering berujung pada penyisipan konten judi daring dan pemasangan webshell pada portal instansi.
Sistem yang Terdampak
| Produk | Versi Terdampak | Versi Perbaikan |
|---|---|---|
| ACPT (Pro) — Custom Post Types Plugin for WordPress | Versi 2.0.63 dan semua versi sebelumnya | Versi di atas 2.0.63 (versi terbaru dari pengembang) |
Detail Teknis
WordPress mengatur kewenangan melalui mekanisme capability yang melekat pada peran pengguna (role). Setiap fungsi yang mengubah keadaan sistem seharusnya memeriksa dua hal sebelum bekerja: apakah pemanggilnya memiliki kewenangan yang sesuai (umumnya lewat current_user_can()), dan apakah permintaannya sah (lewat pemeriksaan nonce).
Kerentanan bertipe CWE-266 timbul ketika pemeriksaan itu tidak ada, tidak lengkap, atau memberikan kewenangan yang lebih luas daripada yang seharusnya. Bila fungsi yang terpapar kebetulan berkaitan dengan pengelolaan pengguna atau peran, penyerang dapat memanfaatkannya untuk menetapkan peran administrator bagi dirinya sendiri.
Karena eksploitasi tidak menuntut autentikasi, jalur serangannya adalah permintaan HTTP biasa ke titik akhir yang terpapar. Konsekuensi praktisnya: pemindai otomatis dapat menemukan dan mengeksploitasi situs rentan secara massal, tanpa penyerang perlu menargetkan instansi tertentu lebih dulu. Situs yang tidak pernah "menarik perhatian" pun tetap berisiko.
Rincian teknis yang lebih dalam tidak kami muat di sini karena informasi tersebut dapat langsung dimanfaatkan untuk menyerang situs yang belum ditambal.
Rekomendasi
- Periksa apakah plugin ini terpasang. Buka dasbor WordPress, masuk ke Plugins → Installed Plugins, lalu cari entri bernama ACPT. Catat nama persis (Pro atau Lite) beserta nomor versinya.
- Perbarui ACPT (Pro) ke versi terbaru di atas 2.0.63 melalui lisensi yang dimiliki instansi.
- Bila pembaruan belum dapat dilakukan, nonaktifkan atau hapus plugin untuk sementara. Menonaktifkan saja belum tentu memadai apabila berkas plugin masih dapat dijangkau langsung; menghapusnya adalah langkah yang lebih pasti selama masa tunggu.
- Periksa apakah situs sudah telanjur disusupi — kerentanan yang dapat dieksploitasi tanpa akun kerap dimanfaatkan sebelum instansi sempat menambal. Yang perlu ditinjau: daftar pengguna beradministrator di Users (adakah akun yang tidak dikenal?), berkas yang berubah pada direktori
wp-content/, plugin atau tema yang tidak pernah dipasang oleh pengelola, serta tugas terjadwal pada WP-Cron. - Ganti kata sandi seluruh akun administrator dan cabut sesi yang masih aktif setelah pembaruan diterapkan.
- Lakukan pencadangan sebelum melakukan perubahan apa pun, mencakup berkas dan basis data, agar tersedia titik pemulihan.
- Batasi akses ke
wp-admindanwp-login.phpdari jaringan tepercaya bila memungkinkan, sebagai pertahanan berlapis. - Laporkan ke KUTIM-CSIRT melalui kanal pelaporan resmi apabila ditemukan indikasi penyusupan, agar penanganan dapat dikoordinasikan.
Catatan Status Eksploitasi
Berdasarkan pemeriksaan kami terhadap katalog Known Exploited Vulnerabilities (KEV) CISA versi 9 September 2026, CVE-2026-32566 belum tercatat sedang dieksploitasi secara aktif. Meski demikian, kerentanan plugin WordPress yang dapat dipicu tanpa autentikasi secara historis cepat dijadikan sasaran pemindaian massal setelah rinciannya dipublikasikan. Status "belum tercatat di KEV" tidak boleh dibaca sebagai alasan untuk menunda.