800 Ribu Situs WordPress Sedang Kritis Diretas, Terancam Dampak Kelemahan dari Plugin SEO!

Penulis: @Ratu Eka Bkj

CEO, Owner, Founder “EKA BKJ”

Terjadi kondisi rentan dan kritis pada keamanan plugin WordPress SEO "All in One". Dampaknya, berpengaruh pada lebih dari 3 juta situs terkena serangan hacking. Cacat keamanan ditemukan dan dilaporkan oleh peneliti keamanan Automattic Marc Montpas adalah, bug Authenticated Privilege Escalation yang kritis (CVE-2021-25036) dan Authenticated SQL Injection (CVE-2021-25037) dengan tingkat yang parah. 

Tercatat, lebih dari 800.000 website dengan CMS (Content Management System) WordPress yang terancam. Pengembang plugin merilis pembaruan keamanan untuk mengatasi All in One pada 7 Desember 2021. Namun, lebih dari 820.000 website yang menggunakan plugin tersebut belum memperbarui instalasinya. Menurut statistik unduhan selama dua minggu terakhir sejak patch dirilis, dan masih terkena serangan.

Faktor yang membuat kelemahan ini sangat berbahaya adalah, sistem security tidak kuat. Meskipun berhasil mengeksploitasi dua kerentanan yang memerlukan aktor ancaman untuk diautentikasi, mereka hanya memerlukan izin tingkat rendah. Yakni, seperti pelanggan yang menyalahgunakannya dalam serangan.

Pelanggan adalah peran pengguna WordPress default (Seperti Kontributor, Penulis, Editor, dan Administrator). Biasanya, diaktifkan untuk memungkinkan user terdaftar supaya dapat mengomentari artikel yang diterbitkan di situs WordPress. Meskipun pelanggan hanya dapat mengedit profil mereka sendiri, selain memposting komentar.

Dalam kasus ini, mereka dapat mengeksploitasi CVE-2021-25036 untuk meningkatkan hak istimewanya. Mendapatkan eksekusi kode jarak jauh di situs yang rentan, dan kemungkinan sepenuhnya mengambil alih hak akses.

Kini, Admin WordPress didesak untuk memperbarui sistem keamanan secepatnya. Seperti yang diungkapkan Montpas, meningkatkan hak istimewa dengan menyalahgunakan CVE-2021-25036 adalah tugas mudah di web yang menjalankan versi SEO All in One. Yang belum ditambal dengan "Mengubah satu karakter menjadi huruf besar". Demi melewati semua pemeriksaan hak istimewa yang diterapkan.

"Ini sangat mengkhawatirkan karena beberapa titik akhir plugin cukup sensitif. Misalnya, titik akhir aio SEO/v1/htaccess dapat menulis ulang .htaccess situs dengan konten arbitrer," jelas Montpas.

"Seorang penyerang dapat menyalahgunakan fitur ini untuk menyembunyikan .htaccess backdoors dan mengeksekusi kode berbahaya di server." Lanjut paparnya.

Admin WordPress yang masih menggunakan versi SEO All In One, menjadi penyebab terbesar rentan mengalami pembobolan ini (Antara 4.0.0 dan 4.1.5.2). Direkomendasikan untuk segera install patch 4.1.5.3 untuk mengatasinya.

"Kami menyarankan Anda memeriksa versi plugin SEO All In One mana yang digunakan situs Anda, dan jika berada dalam kisaran yang terpengaruh, perbarui sesegera mungkin," terang peneliti keamanan Automattic Marc Montpas yang ditemui satu minggu lalu.

KERJASAMA BISNIS, Mulai Klik Hubungi Kami via Whatshap 

= 0895367203860 
Owner, Founder, CEO
= 085704703039 
Customer Service

DUKUNG SITUS INI YA PEMIRSA, SUPAYA KAMI SEMANGAT UPLOAD CONTENT DAN BERBAGI ILMU SERTA MANFAAT.

DONASI DAPAT MELALUI BERIKUT INI =

0481723808

EKA APRILIA.... BCA

0895367203860

EKA APRILIA, OVO

EKA BKJ

Penulisan EKA BKJ merupakan produk bisnis jasa dari grup "EKA BKJ" yang didirikan @Ratu Eka Bkj atau yang memiliki nama asli @Eka Aprilia, S.Ag. EKA BKJ merupakan Perusahaan Internet atau Digital. Menawarkan segala macam produk jasa seperti: Branding, Copywriting / Teks Iklan, Writing Business, Artikel Blog, Artikel Website, Content Halaman Website, Jenis Penulisan Lainnya, Jasa SEO, Pembuatan dan Development Website, Jasa Riset Keyword, Editing Penulisan, Translate Dokumen, Desain Grafis, Content Creator, Video Creator dan Multimedia, Sosial Media Marketing, Optimasi Iklan dan Sejenis Google Adsense, Jasa Trainer dan Motivator, Jasa Konsultasi.

Share this post