LiteSpeed Cache CVE-2024-28000 dan Risiko Akun Admin

Kalau website WordPress kamu memakai plugin LiteSpeed Cache versi di bawah 6.4, segera update: celah CVE-2024-28000 memungkinkan pengunjung tanpa login mengambil alih hak akses administrator.

Kenapa ini penting? LiteSpeed Cache adalah salah satu plugin cache paling banyak dipakai, dengan lebih dari 5 juta instalasi aktif menurut Patchstack saat celah ini diumumkan. Banyak penyedia hosting memasangnya secara bawaan, jadi tidak sedikit pemilik website yang bahkan tidak sadar plugin ini aktif. Akun admin di tangan penyerang berarti mereka bisa memasang plugin berbahaya, menyisipkan spam atau redirect, sampai mencuri data pelanggan.

Siapa yang menemukan dan kapan ditambal?

Celah ini dilaporkan oleh John Blackbourn lewat program bug bounty Patchstack pada 1 Agustus 2024. Tim LiteSpeed dihubungi pada 5 Agustus, versi 6.4 yang memuat perbaikan dirilis 13 Agustus, dan advisori publik terbit 21 Agustus 2024. Patchstack memberi hadiah USD 14.400, yang mereka sebut sebagai bounty terbesar dalam sejarah bug bounty WordPress.

NVD dan Patchstack sama-sama memberi skor CVSS 3.1 sebesar 9.8, kategori kritis. Skor setinggi ini karena serangan bisa dilakukan dari jarak jauh, tanpa login, dan tanpa interaksi pengguna.

Kenapa pengunjung anonim bisa menjadi admin?

LiteSpeed Cache punya fitur simulasi pengguna untuk crawler. Crawler ini mengunjungi halaman sebagai peran tertentu (misalnya pengguna yang login) supaya versi cache untuk peran itu ikut dibuat. Untuk menandai permintaan dari crawler, plugin memeriksa dua cookie: litespeed_role berisi ID pengguna dan litespeed_hash berisi kode rahasia. Kalau hash-nya cocok, plugin menjadikan permintaan itu sebagai pengguna dengan ID tersebut.

Masalahnya ada di kode rahasia itu. Menurut analisis Patchstack:

• Hash dibuat dengan pembangkit acak yang lemah, yang benihnya berasal dari waktu mikrodetik. Hasilnya hanya sekitar 1 juta kemungkinan nilai, sama di semua website.
• Hash disimpan sekali dan tidak pernah berganti, tanpa garam (salt).
• Hash bisa dipicu tanpa login. Crawler mati secara bawaan, tetapi ada aksi AJAX yang bisa dipanggil tanpa login untuk membuat hash, sehingga semua website dengan versi rentan ikut terdampak.

Penyerang cukup menebak ID admin (sering kali 1) lalu mencoba seluruh kemungkinan hash. Patchstack memperkirakan proses tebakan dengan sekitar 3 request per detik butuh waktu dari beberapa jam sampai sekitar satu minggu. Begitu tebakan cocok, penyerang bisa membuat akun admin baru lewat REST API WordPress.

Ada pengecualian: menurut Patchstack, hash tidak bisa dibuat di server Windows, sehingga celah ini tidak bisa dieksploitasi di sana. Hash juga bisa bocor bila mode debug plugin aktif, karena nilainya tercatat di file debug.log.

Bagaimana tahu website pernah dicoba diserang?

Karena serangan ini berupa tebakan berulang, jejaknya biasanya terlihat di log akses web server. Cari banyak permintaan dari alamat IP yang sama yang membawa cookie litespeed_role dan litespeed_hash, atau permintaan beruntun ke admin-ajax.php dan endpoint REST /wp-json/wp/v2/users. Log akses standar sering tidak mencatat cookie, jadi pola permintaan ke endpoint itu lebih mudah dikenali.

Tanda yang lebih pasti ada di dalam WordPress sendiri: akun administrator baru yang tidak pernah kamu buat, plugin asing, atau file PHP baru di folder wp-content/uploads. Kalau menemukan salah satunya, anggap website sudah dibobol. Pulihkan dari backup bersih sebelum tanggal kejadian, bukan sekadar menghapus akun asingnya.

Versi mana yang aman?

Di versi 6.4, pengembang menambahkan validasi hash di jalur AJAX, hash sekali pakai dengan masa berlaku 120 detik, hash acak 32 karakter, dan hash simulasi peran yang dibuat ulang di setiap putaran crawler.

Langkah setelah update

Update saja belum cukup bila website sempat berjalan di versi rentan dalam waktu lama. Celah yang dieksploitasi sebelum ditambal meninggalkan jejak berupa akun atau file baru.

Kalau kamu mengelola banyak website lewat WP-CLI, cek versi lebih cepat dengan wp plugin list --name=litespeed-cache dan update dengan wp plugin update litespeed-cache.

Pelajaran untuk pemilik website WordPress

Plugin cache sering dianggap "plugin teknis" yang dipasang sekali lalu dilupakan. Kasus ini menunjukkan bahwa plugin apa pun yang memproses cookie atau permintaan dari pengunjung bisa menjadi pintu masuk. Masukkan semua plugin ke jadwal update rutin, bukan hanya plugin keamanan atau toko online.

Praktik dasar lain, seperti membatasi jumlah admin dan memasang autentikasi dua faktor, dibahas di dasar keamanan WordPress. Kalau kamu khawatir update merusak tampilan, ikuti alur aman di cara update WordPress tanpa error.