Celah XSS Plugin WordPress Dimanfaatkan untuk Tanam Akun Admin Siluman

Dua plugin WordPress populer ditemukan memiliki celah keamanan serius yang sudah dimanfaatkan pelaku kejahatan siber di dunia nyata. Celah jenis Stored XSS tersebut terdapat pada WPC Product Bundles for WooCommerce dan Ninja Forms, dengan kode CVE-2026-93836 dan CVE-2026-94504.

Melalui kerentanan ini, penyerang dapat menyisipkan kode JavaScript berbahaya yang aktif ketika administrator situs membuka halaman yang telah disusupi. Kode tersebut kemudian dipakai untuk menanam pintu belakang, menciptakan akun administrator tersembunyi, hingga menjaga akses ilegal ke situs korban dalam jangka panjang.

Serangan terpantau mulai 4 Oktober 2026. Seluruh muatan berbahaya diketahui berasal dari domain yang sama, sehingga diduga kuat dilakukan oleh satu kelompok pelaku.

Pemilik situs disarankan segera memperbarui WPC Product Bundles ke versi 8.6.7 atau lebih baru, serta Ninja Forms ke versi 3.15.4 atau lebih baru. Perlu diingat, pembaruan saja tidak membersihkan situs yang telanjur terinfeksi — pemilik situs tetap wajib memeriksa tanda-tanda penyusupan.