Patch Sekarang: Daftar Plugin WordPress Rentan yang Wajib Kamu Update Mei 2026

Bayangin kamu login ke dashboard WordPress besok pagi, dan nemu… admin baru yang bukan kamu yang bikin. Atau lebih parah lagi: pelangganmu tiba-tiba ngeluh transaksi kartu kredit mereka bocor. Ini bukan skenario fiksi. Ini yang lagi terjadi di ribuan situs WordPress minggu ini.

Mei 2026 baru jalan setengah bulan, tapi udah jadi salah satu bulan paling brutal buat keamanan WordPress. Empat celah high-severity dengan total install base di atas 5 juta situs ditemukan dalam dua minggu pertama. Yang paling mengerikan: satu vulnerability CVSS 9.8 — skor nyaris sempurna — udah dieksploitasi lebih dari 7.400 kali dalam 24 jam pertama setelah publikasi.

Kita bakal bedah satu per satu plugin mana aja yang harus kamu update SEKARANG, apa risikonya kalau kamu tunda, dan langkah konkret yang bisa kamu lakuin dalam 15 menit ke depan buat ngamanin situsmu.

Data Singkat: Mei 2026 dalam Angka

89% tingkat patch dalam 2 minggu pertama — angka yang tinggi, sebagian berkat AI-assisted vulnerability research yang mempercepat siklus deteksi-ke-patch dari yang dulunya 60-180 hari jadi 19 hari buat kasus Burst Statistics. Tapi tetap aja: 11% celah medium-low masih belum dipatch.

🚨 1. Burst Statistics — CVSS 9.8, Admin Takeover Tanpa Login

• CVE: CVE-2026-8181
• CVSS: 9.8 (Critical)
• Versi Rentan: 3.4.0 — 3.4.1.1
• Patch: Versi 3.4.2 (rilis 12 Mei 2026)
• Install Base: 200.000+ situs
• Status Eksploitasi: Aktif dieksploitasi — 7.400+ percobaan serangan dalam 24 jam pertama

Apa yang terjadi: Plugin Burst Statistics — tools analytics yang cukup populer — punya bug di proxy autentikasi MainWP. Intinya: penyerang cuma perlu tahu username admin, masukin password sembarang, dan plugin langsung nganggep request itu valid. Akses admin penuh, tanpa perlu kredensial beneran.

Ditemukan oleh Wordfence PRISM pada 8 Mei 2026. Patch dirilis 12 Mei — cuma 4 hari setelah vendor dikasih tahu.

Yang harus kamu lakuin:

1. Update Burst Statistics ke versi 3.4.2 — SEKARANG
2. Rotasi semua password admin WordPress-mu
3. Cek Users > All Users — ada admin asing yang kamu nggak kenal? Hapus langsung
4. Cek log aktivitas sejak 23 April 2026 (tanggal kode vulnerable pertama kali di-ship)

Prioritas: #1 — Update detik ini juga.

🔓 2. Avada Builder — SQL Injection + File Read, wp-config Kamu Bocor

• CVE: CVE-2026-4798 (SQLi 7.5), CVE-2026-4782 (File Read 6.5)
• Versi Rentan: <= 3.15.1
• Patch: Versi 3.15.3 (⚠️ versi 3.15.2 NGGAK CUKUP)
• Install Base: 1.000.000+ situs

Apa yang terjadi: Dua vulnerability dalam satu rilis — SQL Injection yang bisa dipake buat narik user records, email, dan password hash dari database, plus arbitrary file read yang bisa ngambil isi wp-config.php (database credentials, authentication salts, semua kunci kerajaan WordPress-mu).

Detail teknis yang bikin menarik: SQLi ini cuma kena situs yang pernah install WooCommerce, bahkan kalau udah deactivate. Hook WooCommerce yang nyangkut tetap aktif dan jadi jalur eksploitasi.

Yang harus kamu lakuin:

1. Update Avada Builder ke versi 3.15.3 — jangan berhenti di 3.15.2
2. Kalau nemu jejak akses wp-config.php di log, rotasi database credentials
3. Regenerate WordPress salts di wp-config.php
4. Update semua password user — data udah mungkin terekspos

Prioritas: #2 — Update sekarang, terutama kalau kamu pernah install/pakai WooCommerce.

🔑 3. MonsterInsights — Token Google-mu Dicuri Subscriber Biasa

• CVE: CVE-2026-5371
• CVSS: 7.1 (High)
• Versi Rentan: <= 10.1.2
• Patch: Versi 10.1.3
• Install Base: 3.000.000+ situs

Apa yang terjadi: Ini vulnerability yang paling underrated tapi dampaknya bisa parah banget. Dua AJAX handler di MonsterInsights ngecek WordPress nonce (token keamanan), tapi nggak ngecek user capability. Artinya: user level Subscriber — yang bisa daftar sendiri di situsmu — bisa ngambil Google OAuth token live-mu.

Token ini ngasih akses ke Google Analytics, Google Ads, dan Google Search Console yang terhubung. Lebih parah lagi: handler yang sama juga bisa ngereset integrasi Google Ads — jadi kamu bahkan nggak sadar token udah dicuri.

Siapa yang paling berisiko: Toko WooCommerce, membership site, atau situs apapun dengan open registration.

Yang harus kamu lakuin:

1. Update MonsterInsights ke versi 10.1.3
2. Buka Google Account > Security > Third-party apps — revoke akses MonsterInsights
3. Reconnect ulang buat dapetin token baru yang bersih
4. Audit Google Ads campaigns kamu — cek kalau ada perubahan aneh selama exposure window

Prioritas: #3 — Kritis kalau situsmu punya user registration.

💳 4. Funnel Builder — Skimmer Kartu Kredit di Halaman Checkout

• CVE: Belum ada identifier resmi
• Versi Rentan: < 3.15.0.3
• Patch: Versi 3.15.0.3 (rilis 14 Mei 2026)
• Install Base: 40.000+ situs
• Status Eksploitasi: Aktif dieksploitasi — payload menyamar sebagai Google Tag Manager

Apa yang terjadi: Ini nightmare scenario buat pemilik WooCommerce. Vulnerability di Funnel Builder — plugin buat kustomisasi checkout — memungkinkan penyerang nyuntikin JavaScript berbahaya ke halaman checkout tanpa autentikasi.

Payload-nya cerdik banget: menyamar sebagai Google Tag Manager / Google Analytics script (dari domain analytics-reports[.]com/wss/jquery-lib.js). Script ini buka WebSocket ke server penyerang dan mengirim data kartu kredit real-time — nomor kartu, CVV, billing address, semua data customer.

Ditemukan oleh Sansec (spesialis keamanan e-commerce) pada 15 Mei 2026. FunnelKit udah rilis patch keesokan harinya.

Yang harus kamu lakuin:

1. Update Funnel Builder ke versi 3.15.0.3
2. Buka Settings > Checkout > External Scripts — hapus SEMUA script yang nggak kamu kenali
3. Cek apakah ada domain analytics-reports[.]com atau protect-wss[.]com di pengaturan
4. Pantau transaksi kartu kredit mencurigakan selama periode exposure
5. Kalau kamu nemu skimmer aktif, notifikasi pelanggan yang mungkin terdampak

Prioritas: #4 — KRITIS kalau kamu punya WooCommerce dengan Funnel Builder.

🗄️ 5. Form Maker by 10Web — SQL Injection Tanpa Login

• CVE: CVE-2026-3359
• CVSS: 7.5 (High)
• Versi Rentan: <= 1.15.42
• Patch: Versi 1.15.43
• Install Base: 60.000+ situs

Apa yang terjadi: SQL Injection klasik di parameter input form handler. Tanpa autentikasi. Satu request cukup buat narik user records, email, dan password hash WordPress. Yang bikin frustasi: Form Maker udah punya SQLi serupa di 2022 (CVE-2022-3300) — cuma beda parameter. Pola yang sama: percaya input eksternal, skip prepared statement. Ini kegagalan maintenance, bukan cuma security.

Yang harus kamu lakuin:

1. Update Form Maker ke versi 1.15.43
2. Kalau form-mu ngumpulin data personal (newsletter, support request, lead capture), anggap semua data selama exposure window mungkin terekspos

Prioritas: #5 — Update segera.

Plugin Lain yang Juga Perlu Dipantau Mei Ini

Pola yang Muncul: Kenapa Mei 2026 Begitu Brutal?

Setelah ngelihat data dari 89+ vulnerability disclosures dalam dua minggu pertama, tiga pola jelas muncul:

1. AI Mempercepat Siklus Temukan → Patch

Burst Statistics dari kode vulnerable shipped (23 April) ke patch (12 Mei) cuma 19 hari. Wordfence PRISM — platform AI-assisted vulnerability research — nemuin bug ini di hari ke-15. Dua tahun lalu, bug sekelas ini bisa ngendon 60-180 hari sebelum ketahuan. AI nge-cut waktu itu drastis — tapi ini pedang bermata dua: penyerang juga bisa pakai AI buat nemuin celah lebih cepet.

2. Authentication Bugs Jadi Kelas Dominan

Tiga dari empat high-severity disclosure bulan ini adalah authentication atau authorization failure — bukan classical memory-safety atau code-execution bug kayak di software tradisional. Ini mencerminkan realita cara plugin WordPress ditulis: kebanyakan kode adalah “lem” antara HTTP request dan database row, jadi kebanyakan bug ada di lapisan access-control-nya.