Kerentanan Kritis Ditemukan pada Plugin WordPress Modular DS (CVE-2026-23550)

Badan Siber dan Sandi Negara (BSSN) melalui Id-SIRTII/CC merilis imbauan keamanan terkait ditemukannya kerentanan kritis pada plugin WordPress Modular DS. Kerentanan ini terdaftar dengan kode CVE-2026-23550 dan berpotensi menyebabkan pengambilalihan penuh situs web.

Kerentanan yang ditemukan merupakan jenis unauthenticated privilege escalation, di mana penyerang dapat meningkatkan hak akses tanpa perlu melakukan autentikasi terlebih dahulu. Celah ini terjadi akibat mekanisme routing yang tidak aman pada plugin Modular DS.

Dengan memanipulasi parameter URL tertentu, penyerang dapat melewati lapisan keamanan dan mengakses route sensitif. Dampaknya sangat serius, karena memungkinkan penyerang melakukan auto-login sebagai administrator, yang berujung pada kontrol penuh atas situs WordPress yang terdampak.

Tingkat Risiko

Severity: Critical
CWE: 266 – Incorrect Privilege Assignment

Kerentanan ini memberikan hak akses yang tidak semestinya kepada entitas yang tidak berwenang, sehingga memungkinkan penyalahgunaan fungsi administratif.

Produk Terdampak

Plugin WordPress Modular DS versi 2.5.1 dan sebelumnya

Dampak Potensial

Jika dieksploitasi, kerentanan ini dapat menyebabkan :

Pengambilalihan akun administrator
Perubahan atau penghapusan konten situs
Penyisipan malware atau backdoor
Pencurian data sensitif
Penurunan reputasi dan kepercayaan pengguna

Langkah Mitigasi yang Disarankan

BSSN dan Id-SIRTII/CC merekomendasikan langkah-langkah berikut bagi pengguna plugin Modular DS:

Segera perbarui plugin ke versi 2.5.2 atau lebih tinggi.
Lakukan audit keamanan dan periksa daftar pengguna administrator untuk mendeteksi akun mencurigakan.
Jika terindikasi kompromi:
- Buat ulang WordPress salts
- Reset kredensial OAuth
- Lakukan pemindaian menyeluruh terhadap file berbahaya

Referensi Teknis

Informasi teknis dan pembaruan keamanan lebih lanjut dapat diakses melalui :

Pengumuman resmi Modular DS Security Release
Patchstack Vulnerability Database
National Vulnerability Database (NVD)

Kerentanan CVE-2026-23550 menjadi pengingat pentingnya menjaga pembaruan sistem dan plugin WordPress secara rutin. Pengelola situs web diimbau untuk segera melakukan pembaruan dan audit keamanan guna mencegah potensi serangan siber yang dapat merugikan.
Sumber : https://www.idsirtii.or.id/peringatan.html