워드프레스 코어 CVE 2건이 wp2shell로 체이닝되며 패치 당일 저녁부터 악용이 시작됐다. 인증 필요 결함이 신규 로직 결함과 만나 최고 등급 위협으로 바뀐 과정을 짚는다.
댓글은 익명으로 작성되며, 삭제 비밀번호를 설정하면 본인만 삭제할 수 있습니다. 비밀번호를 설정하지 않은 댓글은 누구나 삭제할 수 있습니다.
2026년 7월 17일 금요일, 워드프레스 보안팀이 6.9.5와 7.0.2를 긴급 배포했다. 그날 저녁이 되기도 전에, 공격자들은 이미 그 패치가 막으려던 취약점 두 개를 엮어 사이트를 뚫고 있었다.
발견자는 보안업체 Searchlight Cyber(전 Assetnote)의 연구자 Adam Kues다. 그는 워드프레스 코어의 REST API 배치 엔드포인트에서 논리 결함을 찾아 책임공개 절차로 워드프레스 보안팀에 통보했다. SQL 인젝션 부분은 TF1T·dtro·haongo 팀이 별도로 보고했다.
두 취약점의 나이 차가 이 사건의 핵심이다. (SQL 인젝션)은 워드프레스 6.8.0부터 존재했지만, 트리거하려면 로그인한 사용자 권한이 필요했다. 그래서 위험도가 낮게 평가됐다. WPScan은 이를 5.9점, 중간 등급으로 매겼다.
은 워드프레스 6.9에서 새로 추가된 배치 REST API의 논리 결함이다. 이 기능은 여러 요청을 한 번에 처리하도록 설계됐는데, 검증에 실패한 요청이 섞이면 내부 배열의 순서가 어긋난다. 그 결과 인증 검사를 거쳐야 할 요청이 검증 안 된 채 다음 단계로 넘어간다. 이 결함이 6.8.0부터 조용히 존재하던 SQL 인젝션의 인증 장벽을 사실상 없애 버렸다.
워드프레스는 7월 17일 6.8.6·6.9.5·7.0.2를 동시에 발표했다. 6.9.06.9.4와 7.0.07.0.1 사용자는 두 취약점 모두, 6.8.0~6.8.5 사용자는 SQL 인젝션만 해당했다. 심각도 때문에 자동 업데이트가 강제 적용됐다.
보안업체 Patchstack은 같은 날 저녁, 미국 동부시간 오후 7시 무렵부터 을 겨냥한 공격 시도를 포착했다고 밝혔다. 패치 공개와 사실상 같은 날이다. 공개된 익스플로잇 코드도 몇 시간 안에 등장했다.
주말 사이 악용은 더 퍼졌다. 허니팟 운영사 Hexastrike와 보안업체 watchTowr, Coalition 모두 실제 공격 시도를 확인했다고 발표했다. 공격 순서는 이렇다. 배치 API의 결함으로 SQL 인젝션에 도달해 관리자 계정의 비밀번호 해시를 빼낸다. 이 해시를 크랙해 관리자로 로그인한 뒤, 악성 플러그인을 설치해 임의 코드를 실행하는 흐름이다.
이 공격은 배치 API 엔드포인트(/wp-json/batch/v1 형태)에 대한 반복적이고 기형적인 요청으로 흔적을 남긴다. 다만 이런 요청이 관측됐다고 곧바로 침해가 확정되는 건 아니다. 배치 요청 직후 예기치 않은 파일 생성이나 프로세스 실행이 뒤따르는지가 실제 성공 여부를 가르는 신호로 꼽힌다.
사후 조사에서는 업로드 폴더 안의 낯선 PHP 파일, 새로 생긴 관리자 계정, 변경된 cron 이벤트, 설치 기억이 없는 플러그인·테마가 침해 흔적으로 언급된다.
7월 20일 시점까지 이름이 확인된 침해 사례는 보도되지 않았다. Patchstack·Hexastrike·watchTowr 세 곳 모두 "실제 악용이 진행 중"이라고 경고했을 뿐, 구체적으로 뚫린 사이트를 지목한 보도는 없다.
규모를 가늠하는 수치는 있다. 보안 컨설턴트 Daniel Card는 취약한 사이트가 최대 9천만 개에 이를 수 있다고 추정했다. 다만 이는 단일 분석가의 시장 점유율 기반 추정치이며, 워드프레스나 NVD의 공식 통계는 아니다.
더 눈에 띄는 대목은 점수 차이다. SQL 인젝션 하나만 놓고 보면 WPScan은 5.9점을 매겼다. 인증이 필요하다는 이유였다. 하지만 배치 API 결함과 엮이는 순간 전체 체인은 9.8점, 최고 등급으로 뛰었다. 8년 가까이 조용히 존재하던 결함이, 새 기능 하나 때문에 하루아침에 치명적 위협으로 바뀐 셈이다.
이 사건은 "인증이 필요하니 위험도가 낮다"는 평가가 얼마나 취약한 전제인지 보여준다. 새 기능 하나가 그 인증 장벽을 무너뜨리면, 오래전부터 존재를 알고도 방치했던 결함이 그날로 치명적 위협이 된다. 패치 우선순위가 옛 취약점의 "낮은 위험도" 딱지에만 의존해서는 안 되는 이유다.
같은 주 워드프레스 생태계에서는 성격이 다른 대규모 캠페인도 발견됐다. 노출된 공격자 서버에서 확인된 이 캠페인은 wp2shell과 무관한 별개의 플러그인 취약점을 노렸지만, 워드프레스 전반이 동시다발적 공격의 표적이 되고 있다는 정황은 같다.
국내에도 워드프레스로 운영되는 사이트가 상당수 있다. 패치를 미룬 국내 관리자라면 이미 공개된 이 공격 경로에 그대로 노출돼 있다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.