Kunci UpdraftCentral Bocor Pasca Pembobolan Vendor: Ratusan Ribu Situs WordPress Disusupi Backdoor Tersembunyi

Kabar mengejutkan kembali mengguncang ekosistem webmaster dunia pada pekan ketiga Oktober 2026. UpdraftPlus, plugin pencadangan data paling populer di dunia yang terpasang di lebih dari empat juta situs web berbasis WordPress, terseret dalam insiden peretasan berskala global. Namun berbeda dengan kasus kerentanan kode pada umumnya, insiden kali ini bukan disebabkan oleh celah pemrograman yang belum ditambal pada plugin, melainkan akibat pembobolan langsung pada peladen pusat sang pengembang, TeamUpdraft.

Peretas berhasil mencuri basis data pelanggan dan deretan kunci kriptografi privat milik layanan UpdraftCentral Cloud. Kunci otentikasi tersebut digunakan oleh server pusat untuk mengelola situs-situs WordPress klien dari satu dasbor terpadu. Dengan memegang kunci privat yang sah tersebut, penyerang leluasa mengirimkan perintah jarak jauh berformat resmi yang ditandatangani secara kriptografis ke ribuan situs web target di seluruh dunia. Bagi sistem WordPress penerima, perintah eksekusi dari peretas terbaca sebagai instruksi resmi dari administrator yang sah, sehingga seluruh dinding keamanan dan lapisan proteksi dua faktor terlewati tanpa perlawanan sama sekali.

Hingga Selasa siang waktu Jakarta, berbagai firma keamanan siber global seperti Patchstack, Nethemba, dan Wordfence melaporkan bahwa gelombang serangan otomatis telah menyuntikkan puluhan varian plugin pintu belakang atau backdoor ke berbagai instalasi situs yang terhubung.

Anatomi Serangan: Mengapa Kunci Privat yang Terbengkalai Menjadi Malapetaka

Untuk memahami bagaimana peretas dapat mengambil alih kendali penuh tanpa mengetahui kata sandi admin web sama sekali, kita harus membedah arsitektur komunikasi jarak jauh pada UpdraftCentral.

Modul klien UpdraftCentral sejatinya telah tertanam secara otomatis di dalam setiap instalasi plugin UpdraftPlus, baik versi gratis maupun edisi premium. Modul pengendali ini berada dalam kondisi nonaktif hingga pengguna menghubungkan situsnya ke layanan dasbor pemantauan terpusat. Ketika situs ditautkan, sepasang kunci enkripsi RSA akan dibuat: situs menyimpan kunci publik dasbor, sementara peladen cloud TeamUpdraft memegang kunci privat pengendali. Mulai detik itu, situs akan mematuhi segala instruksi jarak jauh yang dikirim melalui panggilan prosedur jarak jauh atau UDRPC asalkan instruksi tersebut memiliki tanda tangan digital yang cocok.

Petaka bermula dari sebuah setelan bawaan yang sering diabaikan pemilik website. Pada layar pengaturan akun TeamUpdraft di menu dasbor WordPress, terdapat sebuah kotak centang yang berbunyi penambahan website ke UpdraftCentral gratis hingga lima situs. Kotak centang ini dalam kondisi tercentang secara otomatis sejak awal. Ketika pengguna menghubungkan akun cadangan ke layanan penyimpanan cloud mereka antara tahun 2018 hingga 2025, kunci otentikasi UpdraftCentral langsung tercipta di dalam tabel database situs tanpa disadari oleh pemiliknya.

Kunci-kunci kriptografi lama tersebut ternyata tidak memiliki masa kedaluwarsa. Begitu basis data pusat TeamUpdraft diretas pada akhir pekan 17 hingga 18 Oktober 2026, para penjahat siber memperoleh ratusan ribu kunci akses yang masih aktif. Penyerang lantas mengerahkan bot jaringan untuk menyebarkan perintah unggah plugin secara otomatis ke ribuan domain target.

Karena perintah pengunggahan membawa tanda tangan kriptografi yang sah, inti WordPress langsung menerima arsip ZIP yang dikirimkan, mengekstraknya ke direktori plugin, dan mengaktifkannya secara instan.

Modus Operandi Backdoor: Pintu Masuk Siluman Berkedok Peran Editor

Penelitian mendalam yang dirilis oleh peneliti keamanan siber Nethemba dan Patchstack mengungkap pola serangan yang sangat terstruktur. Peretas tidak menggunakan nama acak yang mencurigakan, melainkan menyamarkan plugin perusak mereka dengan label perkakas pemeliharaan rutin.

Beberapa nama plugin palsu yang terdeteksi antara lain menggunakan label StoneDock Tools dengan deskripsi Small maintenance toolkit, atau folder seperti Image Core dan Load Stack. Begitu plugin ini aktif di WordPress, sistem pintu belakang langsung bekerja dengan mekanisme cerdas:

• Penyusupan Hook Awal: Plugin mengaitkan fungsinya pada proses inisialisasi inti WordPress atau init, sehingga kode jahat dieksekusi sebelum halaman web selesai diproses oleh server web.
• Pemicu Parameter Rahasia: Peretas menyisipkan pemeriksa parameter kueri URL khusus yang dilindungi token unik sepanjang 32 karakter alfanumerik. Jika ada perayap atau pengunjung biasa yang membuka halaman web, fungsi backdoor tidak akan bereaksi sama sekali.
• Penciptaan Akun Siluman Berkasta Editor: Saat URL rahasia dipanggil oleh peretas, plugin seketika membuat akun pengguna baru di tabel database wp_users. Yang sangat berbahaya, peretas sengaja tidak memberikan peran Administrator, melainkan peran Editor. Langkah ini dirancang agar pemilik situs tidak curiga ketika memeriksa daftar pengguna admin di dasbor WordPress.
• Pemberian Hak Istimewa Khusus: Meski berstatus sebagai Editor di tampilan muka dasbor, secara diam-diam peretas menyuntikkan kapabilitas tingkat tinggi pada tabel wp_usermeta, yaitu izin instalasi plugin dan pengelolaan opsi sistem. Dengan dua izin istimewa ini, akun siluman tersebut memiliki kekuasaan penuh layaknya pemilik utama server.
• Penerobosan Login Berbasis Kuki: Backdoor langsung menanamkan kuki otentikasi sesi aktif dan mengarahkan browser penyerang langsung ke halaman utama wp-admin. Seluruh mekanisme pengamanan formulir masuk, plugin pembatas percobaan login, hingga autentikasi dua faktor berhasil dilewati sepenuhnya.

Ironisnya, banyak pengelola situs web baru menyadari adanya serangan berkat kecerobohan kecil penyerang. Pada versi awal plugin perusak, pembuat malware salah menuliskan pemanggilan konstanta kelas di bahasa PHP, sehingga server web mengalami kegagalan fatal dan memunculkan pesan galat HTTP 500 pada setiap permintaan halaman.

Tabel Perbandingan: Status Kerentanan dan Langkah Mitigasi

Agar Anda memiliki gambaran menyeluruh mengenai risiko serangan ini pada website Anda, pelajari matriks perbandingan status berikut:

Langkah Audit Mandiri dan Pembersihan Menyeluruh

Jika website atau blog Anda menggunakan plugin UpdraftPlus dan pernah menghubungkannya ke akun dasbor daring, jangan menunda waktu untuk melakukan pengecekan mendalam. Berikut panduan langkah demi langkah yang dapat Anda lakukan secara mandiri lewat dasbor WordPress, cPanel, maupun akses terminal WP-CLI:

1. Pengecekan dan Penghapusan Kunci UpdraftCentral

Masuk ke dasbor admin WordPress Anda, buka menu Pengaturan, pilih Cadangan UpdraftPlus, klik tab Perkakas Tingkat Lanjut, lalu klik menu UpdraftCentral. Periksa apakah terdapat tombol Kelola Kunci yang Tersedia.

Jika Anda menemukan deretan kunci koneksi lama di halaman tersebut, segera klik tombol hapus untuk memusnahkan seluruh kunci yang ada. Apabila Anda memiliki akses terminal atau SSH server, Anda dapat menjalankan perintah sederhana berikut:

wp option get updraft_central_localkeys
wp option delete updraft_central_localkeys

Menghapus kunci ini sama sekali tidak merusak fungsi pencadangan otomatis harian ke Google Drive atau Dropbox milik Anda. Yang terhenti hanyalah fitur kendali jarak jauh dari server eksternal TeamUpdraft.

2. Audit Akun Pengguna Lewat phpMyAdmin cPanel

Karena peretas menyamarkan akun siluman dengan status Editor, Anda tidak boleh hanya mengandalkan tampilan daftar pengguna di menu Pengguna WordPress. Buka phpMyAdmin di cPanel hosting Anda, pilih basis data website Anda, lalu jalankan kueri SQL berikut di tab SQL:

SELECT u.ID, u.user_login, u.user_email, m.meta_value 
FROM wp_users u
JOIN wp_usermeta m ON m.user_id = u.ID
WHERE m.meta_key = 'wp_capabilities'
AND m.meta_value LIKE '%editor%' 
AND m.meta_value LIKE '%manage_options%';

Jika kueri di atas menghasilkan baris data pengguna dengan alamat surel mencurigakan atau nama yang tidak Anda kenali, segera catat ID pengguna tersebut dan hapus akun beserta seluruh metadatanya.

3. Pemindaian Direktori Plugin di File Manager Hosting

Buka File Manager di cPanel atau hubungkan klien FTP Anda, lalu navigasikan ke folder wp-content/plugins/. Periksa setiap subdirektori yang ada di dalamnya:

• Waspadai kemunculan folder dengan nama janggal seperti image-core, style-bridge, atau kombinasi kata asing yang tidak pernah Anda instal dari repositori resmi.
• Periksa tanggal modifikasi berkas. Folder yang dibuat atau dimodifikasi antara tanggal 18 hingga 21 Oktober 2026 tanpa sepengetahuan Anda patut dicurigai sebagai muatan malware.
• Jangan menghapus plugin yang mencurigakan lewat menu dasbor WordPress karena skrip uninstal malware sering kali diprogram untuk menghapus jejak log peretasan. Hapus folder tersebut langsung dari File Manager atau kompres menjadi arsip ZIP terisolasi untuk barang bukti analisis lanjutan.

Pelajaran Berharga bagi Pengelolaan Keamanan WordPress

Insiden pembobolan kunci remote UpdraftCentral ini menjadi pengingat berharga bagi seluruh pemilik situs di Indonesia bahwa risiko rantai pasok perangkat lunak atau supply chain attack kian nyata. Terkadang ancaman terbesar bukan datang dari kelalaian kita memperbarui versi inti WordPress, melainkan dari ekosistem pihak ketiga yang memegang hak akses kendali ke peladen kita.

Langkah preventif terbaik adalah selalu menerapkan prinsip hak istimewa minimal. Jangan pernah membiarkan fitur remote management aktif jika Anda hanya membutuhkan fungsi pencadangan rutin ke penyimpanan lokal atau cloud pribadi. Lakukan audit berkala terhadap akun pengguna berwenang tinggi dan pastikan setiap token integrasi lawas yang sudah tidak terpakai selalu dicabut dari sistem pangkalan data.

—

**