KUTIM-CSIRT mengimbau seluruh Perangkat Daerah pengelola situs web berbasis WordPress di lingkungan Pemerintah Kabupaten Kutai Timur untuk segera memeriksa apakah situs yang dikelola menggunakan tema Avada. Kerentanan CVE-2026-18431 berskor CVSS 9,8 (Critical) dan memungkinkan pengambilalihan situs secara penuh tanpa perlu login sama sekali.

Dari seluruh advisory dalam edaran BSSN kali ini, inilah yang paling relevan bagi lingkungan Pemerintah Kabupaten Kutai Timur. Avada adalah salah satu tema WordPress komersial terlaris di dunia dan banyak dipakai pada situs instansi. Pola serangannya pun sudah sangat kami kenali: arbitrary file write yang berujung pada penanaman berkas PHP berbahaya — persis mekanisme yang dipakai pada rangkaian insiden judi daring dan webshell yang pernah menimpa portal-portal daerah.

Ikhtisar

CVE-2026-18431 adalah kerentanan Missing Authorization (CWE-862) dengan vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

Tema Avada tidak melakukan pemeriksaan otorisasi ketika sebuah permintaan mencoba melakukan penulisan berkas. Ketika tema ini dipasang bersama plugin Fusion Builder dalam keadaan aktif, penyerang tanpa autentikasi dapat menulis berkas yang isinya ia kendalikan sepenuhnya ke dalam server.

Perlu ditegaskan: kerentanan ini merupakan rantai serangan yang melibatkan dua komponen. Karena itu keduanya wajib diperbarui — memperbarui tema saja tanpa memperbarui plugin tidak menutup celah, demikian pula sebaliknya.

Dampak

• Penyerang tanpa akun dapat menulis berkas sewenang-wenang ke server (arbitrary file write).
• Berkas tersebut dapat berupa skrip PHP berbahaya yang kemudian dieksekusi, sehingga berujung pada Remote Code Execution (RCE).
• Dampak akhirnya adalah pengambilalihan situs secara penuh (complete site compromise): perusakan tampilan (defacement), penyisipan konten judi daring, pencurian data pengunjung, hingga penjadikan server sebagai batu loncatan ke sistem lain di jaringan yang sama.
• Webshell yang tertanam dapat bertahan meski tema kemudian diperbarui, karena berkas yang ditanam berada di luar berkas tema itu sendiri.
• Vektor PR:N dan UI:N berarti serangan dapat dilakukan sepenuhnya otomatis dalam skala besar oleh pemindai massal — situs tidak perlu menjadi sasaran khusus untuk ikut menjadi korban.

Sistem yang Terdampak

Keduanya harus diperbarui. Kerentanan ini hanya dapat dieksploitasi ketika tema Avada dan plugin Fusion Builder terpasang serta aktif bersamaan — namun menambal salah satunya saja tidak memutus rantai serangan.

Detail Teknis

Missing Authorization (CWE-862) terjadi ketika aplikasi tidak memeriksa apakah pemohon berhak melakukan suatu tindakan. Perlu dibedakan dari kegagalan autentikasi: sistem mungkin tahu persis siapa yang meminta — atau dalam kasus ini, tahu bahwa pemohon adalah tamu tanpa identitas — namun tetap menjalankan permintaan itu karena pemeriksaan hak akses tidak pernah dilakukan.

Pada WordPress, pemeriksaan semacam ini biasanya dilakukan melalui pemanggilan current_user_can() dan verifikasi nonce. Ketika titik masuk yang menangani penulisan berkas dapat dijangkau tanpa keduanya, jalur unggah menjadi terbuka bagi publik.

Rantai serangan lengkapnya berjalan seperti ini: penyerang mengirim permintaan yang menulis berkas ke dalam direktori yang dapat diakses web — umumnya di bawah wp-content/uploads/ — berisi kode PHP; ia lalu memanggil berkas tersebut melalui peramban; server mengeksekusi kodenya; dan sejak titik itu penyerang memiliki webshell yang memberinya kendali atas server. Rantai inilah yang membuat sebuah celah file write setara dengan RCE dalam praktiknya.

Rekomendasi

1. Perbarui tema Avada ke versi 7.16.1 atau lebih baru dan plugin Fusion Builder ke versi 3.16.1 atau lebih baru. Keduanya wajib, bukan salah satu.
2. Bila pembaruan belum dapat dilakukan segera, nonaktifkan plugin Fusion Builder sebagai langkah sementara — dengan catatan tindakan ini dapat memengaruhi tampilan atau fungsi halaman yang dibangun memakai builder tersebut.
3. Lakukan audit berkas WordPress, terutama pada wp-content/uploads/ serta direktori tema dan plugin. Cari berkas .php atau berkas lain yang tercipta tanpa otorisasi. Berkas PHP di dalam direktori unggahan hampir selalu merupakan tanda bahaya.
4. Larang eksekusi PHP di direktori unggahan pada tingkat server web. Langkah ini memutus rantai serangan bahkan ketika berkas berhasil ditulis, dan layak diterapkan permanen pada semua situs WordPress dinas.
5. Periksa access log, daftar akun pengguna, dan aktivitas administrator untuk mencari indikasi eksploitasi atau perubahan berkas mencurigakan. Perhatikan permintaan POST tidak lazim ke admin-ajax.php maupun endpoint tema.
6. Bandingkan berkas inti WordPress, tema, dan plugin dengan salinan resminya untuk mendeteksi penyisipan kode.
7. Segera laporkan ke KUTIM-CSIRT melalui kanal pelaporan resmi apabila ditemukan berkas asing, pengalihan halaman ke situs judi daring, atau akun administrator yang tidak dikenali.

Referensi

• BSSN/Id-SIRTII – Security Advisory CVE-2026-18431 pada Avada (edaran sumber)
• NVD – CVE-2026-18431
• Wordfence Threat Intelligence – CVE-2026-18431
• Avada – Changelog Resmi
• MITRE CWE-862 – Missing Authorization