KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan situs berbasis WordPress untuk segera menindaklanjuti kerentanan yang teridentifikasi sebagai CVE-2026-60137. Kerentanan ini memperoleh skor CVSS 5.9 (Medium) dan telah dimasukkan ke dalam katalog Known Exploited Vulnerabilities (KEV) CISA pada 21 Juli 2026, yang berarti eksploitasinya sudah teramati di dunia nyata, bukan sekadar potensi teoretis.

Meskipun skor dasarnya tergolong sedang, kerentanan ini tidak boleh dinilai dari angka itu saja. CISA mencatat celah ini dapat dirantai dengan CVE-2026-63030 sehingga penyerang tanpa otentikasi memperoleh remote code execution pada instalasi WordPress bawaan. Gabungan keduanya yang menjadikannya berbahaya.

WordPress adalah salah satu platform yang paling banyak dipakai Perangkat Daerah untuk situs resmi dan portal informasi. Pengalaman penanganan insiden di lingkungan Pemkab Kutai Timur menunjukkan situs berbasis CMS yang tidak diperbarui merupakan pintu masuk paling sering untuk penyisipan konten judi daring dan webshell.

Ikhtisar

CVE-2026-60137 adalah kerentanan SQL Injection (CWE-89) pada inti WordPress dengan vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N. Akar masalahnya adalah WordPress tidak membersihkan (sanitise) parameter author__not_in pada WP_Query secara memadai.

Celah ini terpicu apabila sebuah plugin atau tema meneruskan masukan yang tidak tepercaya ke parameter tersebut. Artinya permukaan serangan sangat bergantung pada plugin dan tema yang terpasang — dan pada praktiknya situs pemerintah umumnya memasang banyak plugin pihak ketiga.

Dampak

Eksploitasi yang berhasil memungkinkan penyerang:

• Membaca isi basis data situs, termasuk tabel pengguna dan data yang seharusnya tidak publik (aspek kerahasiaan).
• Mengekstraksi hash kata sandi akun pengelola untuk upaya pemecahan kata sandi di luar sistem.
• Apabila dirantai dengan CVE-2026-63030, menjalankan kode sewenang-wenang pada server — yang setara dengan pengambilalihan penuh situs.
• Menanamkan konten tersembunyi (SEO spam/judi daring) yang merusak reputasi domain resmi pemerintah.

Sistem yang Terdampak

Detail Teknis

Parameter author__not_in pada WP_Query semestinya menerima daftar bilangan bulat berisi ID penulis yang hendak dikecualikan dari hasil kueri. Pembersihan masukan pada parameter ini tidak dilakukan secara menyeluruh, sehingga nilai bukan-bilangan yang diteruskan plugin atau tema dapat menyusup ke dalam klausa SQL yang dibentuk WordPress.

Karena pemicunya berada di sisi pemanggil, banyak situs tidak terdampak sampai ada satu plugin yang kebetulan meneruskan masukan pengguna ke parameter itu. Kondisi ini membuat pemindaian mandiri sulit diandalkan — pemutakhiran inti WordPress adalah jalan yang pasti, bukan audit plugin satu per satu.

Rekomendasi

1. Segera perbarui WordPress ke versi 6.8.6, 6.9.5, atau 7.0.2 sesuai jalur versi yang digunakan. Ini tindakan tunggal yang paling menentukan.
2. Aktifkan pembaruan otomatis untuk rilis keamanan inti WordPress agar jeda antara rilis tambalan dan penerapan tidak lagi bergantung pada ketersediaan admin.
3. Perbarui seluruh plugin dan tema ke versi terbaru, dan nonaktifkan lalu hapus plugin/tema yang tidak dipakai — komponen tak terpakai tetap menjadi permukaan serangan.
4. Periksa berkas dan akun mencurigakan yang muncul setelah 17 Juli 2026: berkas PHP baru di direktori unggahan, akun administrator yang tidak dikenal, serta tugas terjadwal (cron) yang asing.
5. Pastikan situs berada di belakang WAF dan lakukan pencadangan berkas serta basis data sebelum melakukan pemutakhiran.

Referensi

• NVD – CVE-2026-60137
• CISA Known Exploited Vulnerabilities Catalog
• WordPress – Security Releases

Perangkat Daerah yang menemukan indikasi kompromi pada sistemnya dapat segera menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi di halaman Lapor Insiden. Penanganan dini menekan dampak secara signifikan.