ORINEWS.id – Operasi peretasan berskala besar yang menargetkan situs berbasis WordPress dan Joomla terungkap setelah kelompok pelaku secara tidak sengaja membiarkan server mereka terbuka tanpa perlindungan kata sandi selama sekitar tiga pekan. Kelalaian tersebut memberi peneliti keamanan siber kesempatan untuk mengungkap metode serangan yang dikenal sebagai WP-SHELLSTORM.
Temuan itu diungkap oleh tim intelijen ancaman SOCRadar bersama Ctrl-Alt-Intel. Berdasarkan hasil investigasi, kelompok peretas memanfaatkan kerentanan pada sejumlah plugin lama untuk menyusupkan webshell, yakni program berbahaya yang memungkinkan penyerang mengambil alih kendali server dari jarak jauh.
Dalam operasinya, para pelaku menggunakan skrip otomatis untuk memindai jutaan domain yang berpotensi memiliki celah keamanan. Sasaran utama mereka adalah situs WordPress yang menggunakan plugin Breeze serta situs Joomla yang masih menjalankan editor JCE dengan versi rentan.
Jutaan Domain Dipindai
Data yang ditemukan pada server milik kelompok peretas menunjukkan lebih dari 1,4 juta domain masuk dalam daftar pemindaian. Namun, tidak seluruh target berhasil ditembus.
Peneliti memperkirakan sekitar 5.700 hingga 25.000 situs benar-benar berhasil disusupi dan dipasangi backdoor aktif.
Situs yang berhasil diretas akan dipasangi webshell bernama down.php. File tersebut memungkinkan pelaku menjalankan berbagai perintah pada server, mengakses file sensitif, hingga memperluas serangan ke sistem lain yang terhubung.
Setelah memperoleh akses awal, pelaku memasang program lain bernama SNOWLIGHT yang berfungsi menginstal VShell. Backdoor tersebut dirancang menyamar sebagai proses sistem bernama kworker, sehingga lebih sulit dideteksi oleh administrator server.
Ancaman bagi Pelaku Usaha
Peneliti menilai insiden ini menjadi peringatan bagi pemilik situs web, terutama perusahaan yang menggunakan WordPress sebagai sistem pengelolaan konten.
Menurut hasil investigasi, kelompok yang sama sebelumnya juga dilaporkan pernah menyasar sistem berbasis Java milik perusahaan di sektor logistik, perdagangan elektronik (e-commerce), hingga teknologi finansial (fintech) untuk mencuri kredensial layanan cloud dan basis data.
Artinya, serangan terhadap situs web tidak hanya bertujuan merusak tampilan halaman, tetapi juga dapat menjadi pintu masuk menuju sistem internal perusahaan.
Plugin Tidak Diperbarui Jadi Sasaran
Kasus WP-SHELLSTORM menunjukkan bahwa plugin yang tidak diperbarui masih menjadi salah satu titik lemah utama dalam keamanan siber.
Peneliti mengingatkan, sebuah situs yang masuk daftar pemindaian belum tentu telah diretas. Namun, risiko meningkat apabila situs tersebut masih menggunakan plugin yang memiliki kerentanan, termasuk CVE-2026-3844 pada plugin Breeze.
Karena itu, pembaruan sistem secara berkala menjadi langkah mitigasi paling efektif. Pemilik situs disarankan segera memperbarui seluruh plugin, tema, maupun inti WordPress ke versi terbaru untuk menutup celah keamanan yang dapat dimanfaatkan pelaku.
Selain itu, administrator juga dianjurkan melakukan pemeriksaan rutin terhadap file yang tidak dikenal, memantau aktivitas server, serta menggunakan sistem keamanan tambahan untuk mendeteksi keberadaan backdoor atau webshell yang disisipkan tanpa izin.[]
