Satu Formulir Kontak yang Bisa Membuka Pintu bagi Peretas, Ini Risiko Dari CVE-2026-15748

Table of Contents

Formulir kontak adalah salah satu fitur yang hampir selalu ada di situs WordPress. Fungsinya sederhana, mulai dari menerima pesan pengunjung, menerima berkas lamaran kerja, sampai menerima bukti pembayaran di situs toko online. Karena terlihat sepele, fitur ini jarang dicurigai bisa menyimpan risiko keamanan yang serius.

Namun pada pertengahan Agustus 2026, muncul temuan bahwa fitur unggah file di formulir tersebut ternyata bisa dimanfaatkan untuk mengambil alih seluruh server, bukan hanya situsnya saja. Celah ini tercatat dengan kode CVE-2026-15748, dan dampaknya cukup luas, menyentuh lebih dari enam ratus ribu situs WordPress yang menggunakan plugin Forminator Forms.

Ringkasan Kerentanan

Kode CVE	CVE-2026-15748
Skor CVSS	9.8 dari 10 (Kritis)
Komponen Terdampak	Plugin Forminator Forms untuk WordPress
Versi Rentan	Seluruh versi sampai dengan 1.56.1
Versi Aman	1.56.2 ke atas, dirilis 31 Juli 2026
Jenis Celah	Unggah file berbahaya tanpa autentikasi (CWE-434)
Situs Terdampak	Lebih dari 600.000 instalasi aktif
Ditemukan Oleh	Peneliti dengan alias "daroo", dilaporkan lewat Wordfence

Apa Sebenarnya yang Terjadi

Forminator Forms adalah plugin pembuat formulir yang sangat populer di WordPress. Fungsinya untuk membuat formulir kontak, formulir pembayaran, kuesioner, sampai formulir unggah dokumen tanpa perlu menulis kode sama sekali. Karena kemudahannya, plugin ini dipasang di ratusan ribu situs, mulai dari blog pribadi sampai situs bisnis dan lembaga pendidikan.

Masalahnya ditemukan pada bagian sistem yang mengatur proses unggah file. Peneliti keamanan menemukan bahwa plugin ini punya daftar jenis file yang dilarang diunggah, seperti file PHP yang bisa dieksekusi sebagai kode program. Tujuannya jelas, agar orang tidak bisa mengunggah file berbahaya lewat formulir kontak biasa.

Sayangnya cara plugin ini memeriksa jenis file punya celah. Sistem pemeriksaan hanya mencocokkan nama jenis file secara persis, sehingga bisa diakali dengan menuliskan jenis file dalam format penulisan lain yang tetap dikenali sistem sebagai file yang aman, padahal sebenarnya tetap bisa dijalankan sebagai kode program di server.

Ditambah lagi, konfigurasi formulir seperti kolom mana yang boleh menerima file ternyata bisa dimanipulasi langsung oleh pengunjung situs, tanpa perlu login sebagai admin sama sekali. Gabungan dua kelemahan ini membuat siapa saja di internet bisa mengunggah file berbahaya ke server korban, lalu menjalankannya seolah punya akses penuh ke situs tersebut.

Anatomi Serangan: Dari Klik Biasa Sampai Server Dikuasai

Untuk memudahkan gambaran, berikut tahapan umum bagaimana celah semacam ini biasanya dimanfaatkan. Penjelasan ini bersifat konsep untuk edukasi, bukan panduan teknis untuk eksploitasi.

Kode di Balik Layar, Kenapa Filter Sederhana Bisa Tertipu

Bagian ini hanya untuk menggambarkan secara konsep kenapa pengecekan jenis file dengan pencocokan nama persis itu rapuh. Contoh di bawah bukan kode asli plugin dan tidak bisa dipakai untuk menyerang situs mana pun, sifatnya ilustrasi logika pemrograman secara umum.

ilustrasi_konsep_validasi.txt

daftar_jenis_berbahaya = ["php", "phtml", "phar"]

fungsi apakah_aman(jenis_file):
    jika jenis_file ada di daftar_jenis_berbahaya:
        kembalikan tidak_aman
    sebaliknya:
        kembalikan aman

// Masalahnya, pengecekan di atas hanya mencocokkan
// satu bentuk penulisan jenis file secara persis.
// Kalau penyerang mengirim jenis file yang sama secara
// makna tapi ditulis dengan format atau variasi lain,
// pengecekan sederhana seperti ini bisa saja meloloskannya
// tanpa benar benar memahami isi filenya.

Pelajaran dari contoh ini adalah pengecekan keamanan yang hanya mengandalkan pencocokan nama atau format secara persis, tanpa memeriksa isi file yang sesungguhnya, cenderung mudah diakali. Sistem yang lebih aman biasanya memeriksa isi file secara lebih menyeluruh, bukan hanya nama atau labelnya.

Kenapa Ini Bisa Dianggap Sangat Berbahaya

Tingkat keparahan celah ini diberi skor 9,8 dari skala 10, yang termasuk kategori kritis dalam dunia keamanan siber. Ada beberapa alasan kenapa skornya setinggi itu. 

Pertama, serangan ini tidak memerlukan akun atau login apapun. Siapa saja yang menemukan situs dengan plugin bermasalah bisa langsung mencoba mengeksploitasinya.

Kedua, prasyaratnya cukup sederhana. Situs hanya perlu memiliki formulir yang menggabungkan kolom unggah file dengan kolom pilihan, kombinasi yang sebenarnya sangat umum dipakai untuk formulir lamaran kerja, pengajuan dokumen, atau formulir pendaftaran.

Ketiga, begitu file berbahaya berhasil diunggah dan dijalankan, penyerang praktis mendapat kendali penuh atas server, bukan cuma situs WordPress-nya saja. Dari sana penyerang bisa mencuri data pengunjung, mengubah tampilan situs, memasang halaman phishing, atau bahkan menjadikan server tersebut batu loncatan untuk menyerang sistem lain.

Siapa yang Menemukan dan Bagaimana Responsnya

Celah ini ditemukan oleh peneliti keamanan yang memakai nama samaran daroo, kemudian dilaporkan lewat perusahaan keamanan Wordfence yang memang fokus mengawasi ekosistem plugin WordPress. Pengembang Forminator merespons dengan merilis versi perbaikan 1.56.2 pada akhir Juli 2026. Masalahnya, banyak pemilik situs yang tidak langsung memperbarui plugin mereka begitu ada rilis baru. Berdasarkan laporan sejumlah lembaga keamanan, diperkirakan masih ada ratusan ribu situs yang berjalan dengan versi lama dan berpotensi rentan saat celah ini mulai diberitakan luas.

Tanda Tanda Situs Sudah Terdampak

1. Muncul file dengan nama acak atau ekstensi tidak wajar di folder unggahan situs
2. Ada halaman baru di situs yang tidak pernah dibuat oleh admin
3. Muncul akun pengguna baru dengan hak akses tinggi yang tidak dikenali
4. Trafik situs tiba tiba melonjak aneh ke folder unggahan atau file mencurigakan
5. Situs mulai mengarahkan pengunjung ke halaman lain tanpa sepengetahuan admin

Apa yang Sebaiknya Dilakukan Pemilik Situs WordPress

1. Segera perbarui plugin Forminator Forms ke versi 1.56.2 atau yang lebih baru
2. Periksa folder unggahan situs, cari file dengan ekstensi yang tidak wajar
3. Aktifkan firewall aplikasi web jika tersedia, agar percobaan eksploitasi bisa terdeteksi lebih awal
4. Periksa daftar pengguna admin, pastikan tidak ada akun asing yang muncul tiba tiba
5. Biasakan memeriksa pembaruan plugin secara rutin, bukan hanya saat ada masalah besar yang viral

Kasus ini sebenarnya bukan cuma soal satu plugin atau satu situs saja. Fitur yang terlihat sederhana seperti formulir unggah file ternyata bisa menyimpan risiko besar kalau tidak dirancang dengan hati hati. Sesuatu yang sehari hari kita anggap remeh, seperti tombol unggah CV, sebenarnya menyentuh langsung bagian server yang sensitif.

Pembaruan perangkat lunak bukan sekadar formalitas. Celah keamanan seperti ini biasanya sudah punya perbaikan resmi, tapi perbaikan itu tidak berguna kalau pemilik situs tidak segera memasangnya. Jeda waktu antara rilis perbaikan dan pemasangan itulah yang sering dimanfaatkan penyerang.

Popularitas sebuah plugin bukan jaminan keamanan. Justru semakin banyak dipakai, semakin menarik plugin itu menjadi target, karena satu celah bisa berdampak ke ratusan ribu situs sekaligus. Di dunia digital yang bergerak cepat, jeda beberapa minggu saja antara ditemukannya celah dan diperbaikinya situs bisa menjadi waktu yang cukup bagi peretas untuk masuk lebih dulu.

Referensi

1. Wordfence Blog, 600.000 WordPress Sites Affected by Arbitrary File Upload Vulnerability in Forminator Forms
2. Wordfence Threat Intelligence, detail kerentanan CVE-2026-15748
3. GitHub Advisory Database, pencarian entri CVE-2026-15748