KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan situs berbasis WordPress untuk segera menindaklanjuti kerentanan yang teridentifikasi sebagai CVE-2026-63030. Kerentanan ini memperoleh skor CVSS 9.8 (Critical) dan telah dimasukkan ke dalam katalog Known Exploited Vulnerabilities (KEV) CISA pada 21 Juli 2026, yang berarti eksploitasinya sudah teramati di dunia nyata, bukan sekadar potensi teoretis.

Bersama CVE-2026-60137, kerentanan ini membentuk rantai serangan yang memungkinkan penyerang tanpa otentikasi sama sekali menjalankan kode pada server yang menjalankan WordPress bawaan. Kedua CVE masuk katalog KEV CISA pada hari yang sama.

Ikhtisar

CVE-2026-63030 diklasifikasikan sebagai Interpretation Conflict (CWE-436) dengan vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Masalahnya terletak pada route confusion di endpoint batch REST API WordPress.

Perbedaan penafsiran rute antara lapisan pemeriksaan izin dan lapisan pelaksana permintaan menyebabkan permintaan dapat diarahkan ke penanganan yang tidak diniatkan. Dampaknya, pembatasan akses yang semestinya berlaku pada suatu rute dapat dilewati.

Dampak

Karena kerentanan ini dirancang untuk dirantai, dampaknya bertingkat:

• Pelewatan kendali akses pada REST API sehingga operasi yang seharusnya menuntut otentikasi dapat dijangkau anonim.
• Bila digabung dengan CVE-2026-60137, penyerang memperoleh jalur SQL Injection yang dapat dieskalasi menjadi eksekusi kode jarak jauh.
• Pengambilalihan penuh situs: penanaman webshell, perubahan halaman (defacement), penyisipan konten judi daring, hingga penggunaan server sebagai pijakan menyerang sistem lain di jaringan yang sama.
• Kerahasiaan, integritas, dan ketersediaan seluruhnya terdampak pada tingkat tinggi.

Sistem yang Terdampak

Detail Teknis

REST API WordPress menyediakan endpoint batch yang memungkinkan beberapa permintaan digabungkan dalam satu panggilan. Penggabungan ini menuntut agar setiap sub-permintaan melewati pemeriksaan izin yang sama seperti bila dikirim sendiri-sendiri.

Konflik penafsiran rute membuat kesesuaian itu tidak terjaga: rute yang dikenali saat pemeriksaan izin dapat berbeda dari rute yang akhirnya dieksekusi. Pola cacat semacam ini — dua komponen membaca masukan yang sama dengan aturan berbeda — merupakan sumber klasik pelewatan otorisasi, dan menjadi berbahaya justru ketika dipadukan dengan celah lain yang sendirian tampak tidak kritis.

Versi 6.8.x tidak tercantum sebagai terdampak untuk CVE ini, namun tetap terdampak CVE-2026-60137. Karena itu seluruh jalur versi perlu dimutakhirkan.

Rekomendasi

1. Perbarui WordPress ke 6.9.5 atau 7.0.2 sekarang juga. Perlakukan ini sebagai perbaikan darurat, bukan pekerjaan pemeliharaan rutin.
2. Bagi situs yang belum dapat segera diperbarui, batasi akses ke /wp-json/ dari jaringan publik melalui WAF atau aturan pada server web sebagai mitigasi sementara — bukan pengganti tambalan.
3. Lakukan pemeriksaan kompromi menyeluruh apabila situs sempat terekspos: cari berkas PHP asing, akun administrator baru, perubahan pada wp-config.php, dan entri tak dikenal pada tabel wp_options.
4. Putar ulang seluruh kredensial situs (akun admin, kunci basis data, salt pada wp-config.php) apabila ditemukan indikasi kompromi.
5. Terapkan prinsip hak akses minimum pada akun basis data yang dipakai WordPress agar dampak SQL Injection dapat ditekan.

Referensi

• NVD – CVE-2026-63030
• CISA Known Exploited Vulnerabilities Catalog
• WordPress – Security Releases

Perangkat Daerah yang menemukan indikasi kompromi pada sistemnya dapat segera menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi di halaman Lapor Insiden. Penanganan dini menekan dampak secara signifikan.