패치 당일부터 실공격이 시작된 엘리멘터 프로 CVE-2026-32475의 배열 업로드 검증 우회 메커니즘과 탐지 포인트를 정리했다.
2026년 8월 19일, 엘리멘터(Elementor)는 설치 600만 개가 넘는 워드프레스 플러그인 엘리멘터 프로의 새 버전 4.2.2를 배포했다. 이 업데이트에는 로 등록된 치명적 결함의 수정 사항이 담겨 있었다. 그런데 패치가 나온 바로 그날부터 실공격이 시작됐다. 워드펜스(Wordfence)는 하루 만에 약 19만 건의 차단 시도를 관측했다고 밝혔다.
| 항목 | 값 |
|---|---|
| CVE | |
| CVSS | NVD 9.0(Critical) · Wordfence 자체 산정 9.8 |
| 영향 버전 | Elementor Pro 4.2.1 이하 |
| 패치 버전 | 4.2.2 (2026-08-19) |
| 취약점 유형 | CWE-434, 위험한 유형의 파일 업로드 제한 실패 |
| 공격 조건 | 인증 불필요, File Upload 필드가 있는 폼 위젯 게시 시 |
엘리멘터 프로는 워드프레스 사이트에서 폼을 만들 때 흔히 쓰는 유료 플러그인이다. 문의 폼이나 지원서 접수 폼처럼 파일 업로드 기능을 넣은 페이지가 많아, 공격 표면이 생각보다 넓다. 이번 결함은 로그인 없이도 악용할 수 있어 위험도가 특히 높다.
파일 업로드 필드가 있는 폼 위젯을 하나라도 게시해 둔 사이트라면 대상이 될 수 있다. 이 취약점은 발견자 Tin Pham이 버그바운티 플랫폼 Patchstack을 통해 2026년 7월 16일 벤더에 신고하며 알려졌다.
는 파일 업로드 필드의 검증 로직에서 비롯된 결함이다. NVD는 이를 CWE-434(위험한 유형의 파일 업로드 제한 실패)로 분류했다.
문제는 하나의 업로드 필드에 파일을 배열 형태로 여러 개 제출했을 때 발생한다. 확장자를 검사하는 단계와 실제로 파일을 저장하는 단계가 이 배열을 서로 다르게 해석하면서, 뒤쪽에 포함된 악성 파일이 검사망을 피해 그대로 서버에 저장된다.
엘리멘터는 신고를 받은 지 한 달여 만인 8월 19일 4.2.2 버전으로 결함을 수정했다. 문제는 패치가 배포되자마자 공격자들이 코드 차이를 분석해 곧바로 실공격에 나섰다는 점이다. 진성 제로데이가 아니라, 공개된 패치를 역분석해 만든 n-day 공격인 셈이다.
워드펜스는 패치 배포 당일부터 며칠간 공격 시도가 집중됐고, 이후에도 산발적으로 이어지고 있다고 전했다.
침해 여부를 확인하려면 /wp-content/uploads/elementor/forms/ 경로에 .php 확장자 파일이 있는지부터 살펴봐야 한다. 워드펜스는 이 경로에 PHP 파일이 하나라도 있다면 그 자체가 강한 침해 지표라고 설명했다. 심어지는 웹셸 파일명은 PHP uniqid() 함수가 만들어내는 무작위 문자열에 .php 확장자가 붙는 패턴을 따른다.
아직 별도의 Sigma 룰이나 WAF 시그니처가 공식적으로 공개되지는 않았다. 워드프레스와 엘리멘터를 함께 쓰는 국내 중소업체 사이트라면, 자동 업데이트 여부와 함께 위 경로를 우선 점검해볼 필요가 있다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.