Penyerang kini memakai CVE-2026-102785, celah eksekusi kode jarak jauh tanpa login di tema dan page builder YOOtheme Pro 5. Palo Alto Networks Unit 42 mengonfirmasi serangan aktif pada 26 Oktober 2026. Catatan CVE memberi skor CVSS 10,0, nilai tertinggi, menurut SecurityOnline.
Versi terdampak dan perbaikan
Celah ada di image handler YOOtheme Pro versi 5.0.0 sampai 5.0.52. Pengembang YOOtheme merilis perbaikan di versi 5.0.53 pada 21 Oktober, dan catatan rilisnya menyebut satu perbaikan keamanan untuk CVE-2026-102785. Menurut vendor, YOOtheme Pro 4 dan versi yang lebih lama tidak terdampak.
Produk ini berjalan di Joomla dan WordPress. Catatan CVE menyebut ekstensi Joomla, tetapi Unit 42 melihat berkas berbahaya muncul di folder unggahan WordPress, jadi pemilik situs di kedua platform sebaiknya menganggap dirinya terdampak.
Apa yang sudah terjadi
CVE ini dipublikasikan pada 22 Oktober. Unit 42 melaporkan kode uji coba publik beredar sejak 23 Oktober dan menerbitkan ringkasan ancaman pada 26 Oktober yang memuat indikator serangan. Laporan lain dari mySites.guru menyebut serangan sudah terlihat sekitar 22 Oktober, baik sebelum maupun sesudah tambalan terbit, dengan penyerang memasang berkas pintu belakang yang sudah dikenal dari kampanye lain. Dua sumber itu tidak sepenuhnya sepakat soal awal serangan, jadi tanggal pastinya belum jelas.
Skor CVSS juga belum seragam. SecurityOnline mengutip nilai 10,0 dari catatan CVE, sementara mySites.guru sempat menuliskan 9,3 sebagai nilai sementara sebelum catatan resmi terbit. Pihak yang pertama melaporkan celah ini belum diumumkan.
Langkah yang perlu diambil pembaca
Mitigasi resmi hanya satu: perbarui ke YOOtheme Pro 5.0.53 atau yang lebih baru. Tidak ada mitigasi sebagian, sehingga pembaruan itu sendiri adalah perbaikannya. Agensi dan pengembang yang mengelola banyak situs klien perlu mendata semua instalasi YOOtheme Pro 5, termasuk situs lama yang jarang dibuka.
Setelah memperbarui, periksa folder unggahan dan folder media untuk berkas PHP yang tidak dikenal. Daftar indikator lengkap ada di ringkasan Unit 42. Jika Anda menemukan webshell, perlakukan server sebagai sudah dikuasai penyerang: ganti semua kata sandi dan kunci, pulihkan dari cadangan yang bersih, lalu periksa akun admin yang tidak dikenal.
Sumber: SecurityOnline, mySites.guru, catatan rilis YOOtheme. Gambar: SecurityOnline.