Selama ini nasihat keamanan WordPress yang paling sering saya ulang adalah: hindari plugin dan template dari sumber tidak jelas. Tahun 2026 membuktikan nasihat itu belum cukup. Kali ini backdoor justru datang dari jalur yang kita percaya, yaitu update resmi.
Apa yang terjadi?
Pada April 2026 lebih dari 25 plugin di repositori WordPress.org disusupi dalam rentang sekitar 72 jam, dan diperkirakan ratusan ribu situs ikut terpapar. Beberapa bulan kemudian giliran plugin berbayar ShapedPlugin yang disusupi lewat jalur update komersialnya, lalu pada Agustus feed promosi milik beberapa plugin BdThemes diracuni penyerang. Polanya sama: admin menekan tombol Update, dan backdoor terpasang dengan sendirinya.
Langkah audit di server
Berikut urutan yang saya pakai ketika memeriksa server yang dicurigai. Semua perintah dijalankan dari root instalasi WordPress.
1. Verifikasi checksum core dan plugin dari WordPress.org.
wp core verify-checksums
wp plugin verify-checksums --all
2. Cari file PHP yang berubah dalam 30 hari terakhir, lalu cari pola obfuscation yang umum dipakai malware.
find wp-content -name "*.php" -mtime -30 -type f
grep -rlE "eval(base64_decode|gzinflate(|str_rot13(" wp-content/
3. Periksa akun administrator dan plugin must-use yang sering dipakai untuk bersembunyi.
wp user list --role=administrator
wp plugin list --status=must-use
4. Jika ditemukan indikasi, ganti semua kredensial (database, FTP/SSH, akun admin) dan acak ulang salt agar semua sesi login lama tidak berlaku.
wp config shuffle-salts
Catatan penting
Checksum hanya berlaku untuk plugin dari WordPress.org. Plugin komersial perlu dibandingkan manual dengan paket asli dari vendornya. Setelah bersih, kurangi jumlah plugin: setiap plugin adalah rantai pasok yang ikut kita warisi.
Di artikel berikutnya saya bahas strategi update plugin supaya tidak menjadi korban pertama.
