Jutaan situs web yang menggunakan WordPress berpotensi terancam diambil alih oleh peretas akibat adanya kelemahan serius pada plugin Litespeed Cache. Plugin ini, yang dirancang untuk meningkatkan kinerja situs WordPress dengan caching, saat ini digunakan oleh lebih dari 5 juta situs.
Seorang peneliti bernama John Blackbourn menemukan bahwa plugin Litespeed Cache memiliki celah keamanan yang sangat kritis. Celah ini memungkinkan peretas yang tidak memiliki akses untuk mendapatkan hak administrator di situs web yang mereka targetkan. Dengan hak administrator, peretas bisa merusak situs web atau bahkan menyebarkan malware.
Kerentanan ini diberi kode identifikasi CVE-2024-28000 dan telah diungkapkan melalui program bug bounty, yang merupakan inisiatif dari perusahaan keamanan WordPress, Patchstack. Sebagai imbalan atas penemuannya, Blackbourn menerima hadiah sebesar $14,400.
Para pengembang Litespeed Cache diberi tahu tentang masalah ini pada tanggal 5 Agustus, dan mereka segera merilis perbaikan pada tanggal 13 Agustus dengan versi baru dari plugin, yaitu versi 6.4. Namun, meskipun perbaikan telah dirilis, masih ada sekitar dua juta situs yang belum memperbarui plugin mereka, membuat mereka rentan terhadap serangan.
Kerentanan ini terkait dengan fitur dalam plugin yang memungkinkan simulasi pengguna, tetapi sayangnya, fitur ini dilindungi oleh kode keamanan yang sangat lemah. Kode tersebut bisa ditebak oleh peretas, yang kemudian dapat membuat akun administrator baru dan mengambil alih situs tersebut.
Meskipun mendapatkan kode keamanan memerlukan waktu, terutama jika dilakukan dengan metode brute-force (coba-coba hingga berhasil), ada juga kemungkinan kode tersebut bocor di situs yang mengaktifkan mode debugging, yang bisa dimanfaatkan oleh peretas.
CEO Patchstack, Oliver Sild, menjelaskan bahwa meskipun mengeksploitasi kerentanan ini mungkin lebih sulit daripada beberapa serangan lainnya, risikonya tetap besar bagi situs-situs tertentu yang menjadi target. Oleh karena itu, penting bagi pemilik situs untuk segera memperbarui plugin Litespeed Cache mereka ke versi terbaru.
Perusahaan keamanan WordPress lainnya, Defiant, juga telah meninjau masalah ini dan menyatakan bahwa mereka yakin kerentanan ini akan segera dimanfaatkan oleh peretas, terutama pada situs-situs yang belum melakukan pembaruan.
Kesimpulan: Jika Anda menggunakan plugin Litespeed Cache pada situs WordPress Anda, sangat disarankan untuk segera memperbaruinya ke versi terbaru guna menghindari risiko serangan yang dapat merusak situs web Anda.
