Cara Memeriksa Kerentanan Plugin WordPress: WP-CLI dan WPScan

Artikel ini adalah edisi lokal dari artikel asli berbahasa Jepang. Baca artikel asli berbahasa Jepang

Pada kerentanan plugin, jeda antara saat kerentanan dipublikasikan dan saat serangan dimulai bisa sangat singkat. Dasarnya adalah menjalankan alur ini secara berkala: mengetahui plugin dan versi yang terpasang, mencocokkannya dengan kerentanan yang sudah diketahui, lalu memperbarui jika ada versi perbaikan. Artikel ini menjelaskan berurutan cara memeriksa versi dengan WP-CLI, mencocokkan dengan WPScan, membaca database kerentanan, memeriksa perusakan file, dan penanganan saat kerentanan ditemukan. Ketentuan perintah dan biaya adalah hasil pengecekan dokumentasi resmi masing-masing per November 2026.

1. Buat daftar plugin dan versi yang terpasang

Pertama, pahami apa saja yang terpasang dan di versi berapa. Anda juga bisa memeriksanya di "Plugin → Plugin Terpasang" (Plugins → Installed Plugins) pada layar admin, tetapi dengan WP-CLI daftarnya bisa disimpan.

# Tampilkan nama, versi, aktif/nonaktif, dan ada tidaknya pembaruan
wp plugin list --fields=name,version,status,update

# Tampilkan hanya yang ada pembaruan
wp plugin list --update=available

# Simpan sebagai JSON untuk catatan
wp plugin list --fields=name,version,status --format=json > plugins.json

Plugin yang dinonaktifkan juga muncul dalam daftar. Meskipun nonaktif, filenya tetap ada di server, dan file yang rentan bisa diakses langsung, jadi hapus yang tidak dipakai. Dasar-dasar WP-CLI dijelaskan di "Cara mengelola plugin dengan WP-CLI".

2. Cocokkan dengan kerentanan yang diketahui memakai WPScan

WPScan adalah alat baris perintah yang memeriksa situs WordPress dari luar. Informasi kerentanan diambil dari API WPScan, jadi buat akun di wpscan.com, terbitkan API token, lalu gunakan.

Menurut halaman harga WPScan, paket gratis terbatas untuk penggunaan non-komersial, dan panggilan API dibatasi hingga 25 kali per hari. Jika dipakai untuk situs bisnis, diperlukan lisensi berbayar. Alat ini tetap berjalan tanpa API token, tetapi informasi kerentanan tidak ditampilkan.

# Instalasi (jika memasang dengan gem Ruby)
gem install wpscan

# Jika memakai Docker
docker pull wpscanteam/wpscan

# Periksa plugin yang dilaporkan memiliki kerentanan
wpscan --url https://example.com --api-token YOUR_API_TOKEN -e vp

# Gunakan passive dan aggressive sekaligus sebagai metode deteksi
wpscan --url https://example.com --api-token YOUR_API_TOKEN -e vp --plugins-detection mixed

Nilai utama -e adalah sebagai berikut.

Deteksi plugin secara bawaan memakai passive, yaitu membaca dari HTML halaman dan sebagainya. Plugin yang tidak meninggalkan jejak di HTML bisa tidak ditemukan, sehingga jika Anda menentukan aggressive atau mixed, deteksi bertambah, tetapi jumlah permintaan juga bertambah.

Yang boleh Anda periksa dengan WPScan hanyalah situs yang Anda kelola sendiri atau situs yang sudah mengizinkan Anda. Untuk cara pakai yang lebih rinci, lihat juga "Memeriksa kerentanan situs dengan WPScan".

3. Pastikan isinya di database kerentanan

Untuk plugin yang disebut dalam hasil WPScan atau berita keamanan, periksa detailnya di database berikut.

• WPScan Vulnerability Database (wpscan.com)
• Wordfence Intelligence (wordfence.com)
• Patchstack Database (patchstack.com)
• NVD (nvd.nist.gov, cari dengan nomor CVE)

Item yang perlu dilihat adalah sebagai berikut.

Tangani lebih dulu yang bisa dieksploitasi tanpa login dan yang tingkat keparahannya tinggi. Yang bisa dieksploitasi dengan hak akses pelanggan perlu cepat ditangani pada situs yang menerima pendaftaran pengguna (situs keanggotaan, toko, dan sebagainya).

4. Pastikan file tidak dirusak

Jika kerentanan mungkin sudah dieksploitasi, periksa apakah file masih sama seperti saat didistribusikan. verify-checksums pada WP-CLI membandingkan file dengan checksum yang dipublikasikan WordPress.org.

# Periksa semua plugin
wp plugin verify-checksums --all

# Periksa hanya plugin tertentu
wp plugin verify-checksums contact-form-7

# Periksa file inti WordPress
wp core verify-checksums

Jika tidak ada masalah, ditampilkan sesuatu seperti Success: Verified 8 of 8 plugins.. Jika ada file tambahan atau file yang isinya berbeda, daftarnya ditampilkan.

Plugin berbayar yang tidak didistribusikan di WordPress.org tidak memiliki checksum, sehingga tidak bisa diperiksa dengan cara ini. Dalam hal itu, unduh versi yang sama dari penyedianya lalu bandingkan filenya.

5. Penanganan saat kerentanan ditemukan

# Jika ada versi perbaikan: perbarui
wp plugin update contact-form-7

# Jika tidak ada versi perbaikan: nonaktifkan, dan hapus jika tidak dipakai
wp plugin deactivate vulnerable-plugin
wp plugin delete vulnerable-plugin

# Sebelum memperbarui sekaligus, periksa apa saja yang akan diperbarui
wp plugin update --all --dry-run

vulnerable-plugin hanyalah contoh. Ganti dengan slug yang sebenarnya (kolom name pada wp plugin list).

• Buat cadangan sebelum memperbarui, dan setelah pembaruan pastikan layar-layar utama (formulir kontak, pembayaran, dan sebagainya) berfungsi.
• Untuk plugin yang tidak mendapat versi perbaikan dan pengembangannya berhenti, pertimbangkan beralih ke plugin lain dengan fungsi yang sama. Untuk plugin yang distribusinya dihentikan di WordPress.org, halaman plugin menampilkan keterangan penghentian.
• Jika ada tanda perusakan, pembaruan saja tidak cukup. Periksa juga penambahan pengguna administrator, file PHP yang diletakkan di uploads, dan perubahan pada wp-config.php, lalu kembalikan dari cadangan jika perlu.

6. Jadikan pemeriksaan sebagai kebiasaan

• Di "Plugin" pada layar admin, Anda bisa mengaktifkan pembaruan otomatis untuk tiap plugin (WordPress 5.5 ke atas). Aktifkan mulai dari plugin yang kecil kemungkinannya merusak tampilan saat diperbarui. Untuk lebih lengkapnya, lihat "Cara mengatur pembaruan otomatis plugin".
• Jika menjalankan WPScan secara berkala dengan cron, perhatikan batas gratis 25 kali per hari dan ketentuan non-komersial.
• Plugin keamanan Wordfence juga memberi tahu plugin yang perlu diperbarui lewat pemindaiannya. Cara pakainya dijelaskan di "Memindai situs dengan Wordfence".

Ringkasan

Pemeriksaan kerentanan plugin dilakukan berurutan: membuat daftar (wp plugin list), mencocokkan dengan kerentanan yang diketahui (WPScan dan database kerentanan), memastikan tidak ada perusakan (wp plugin verify-checksums), lalu menangani dengan pembaruan atau penghapusan. Menghapus plugin yang tidak dipakai adalah langkah yang paling sedikit merepotkan.

Ada pertanyaan tentang WordPress? Penerbit situs ini berada di Jepang dan membalas dalam bahasa Jepang. Kontak (bahasa Jepang)