로그인 회원가입

[해외보안뉴스] 워드프레스 Bricksforge 플러그인에서 CVSS 10.0 최상위 취약점 악용 정황 포착… 인증 없는 RCE 위험

한수호 한수호 · 2026-10-12 10:00 · 조회 15 · 원문 ↗
#워드프레스#CVE-2026-85097#Bricksforge

워드프레스(WordPress)용 Bricksforge 플러그인에서 최고 심각도 등급인 CVSS 10.0의 치명적인 보안 취약점이 발견되어 실제 공격에 적극적으로 악용되고 있습니다. 보안 전문 업체 패치스택(Patchstack)에 따르면, 공격자들은 해당 취약점을 이용해 취약한 사이트를 공격하고 있는 것으로 확인되었습니다.

문제의 취약점은 CVE-2026-85097로 식별되었으며, 인증되지 않은 원격 공격자가 취약한 워드프레스 웹사이트에 임의의 PHP 코드를 업로드하고 실행할 수 있도록 허용합니다. 이를 통해 공격자는 별도의 로그인 절차 없이 원격 코드 실행(RCE)을 달성할 수 있습니다.

해당 취약점이 성공적으로 악용될 경우, 공격자는 웹서버의 완전한 제어권을 탈취하거나 기밀 데이터를 유출하고, 악성코드를 유포하는 등 심각한 피해를 입힐 수 있습니다. 따라서 Bricksforge 플러그인을 사용하는 모든 워드프레스 사이트가 위험 영향 범위에 포함됩니다.

웹사이트 관리자는 추가적인 피해를 막기 위해 Bricksforge 플러그인을 즉시 개발사가 제공하는 최신 보안 패치 적용 버전으로 업데이트해야 합니다. 아울러 웹서버 내 의심스러운 PHP 파일이 생성되었는지 점검하고 관련 로그를 확인하는 등의 보안 조치가 시급합니다.

댓글 3

박소연 박소연 개발자 ·2026-10-12 10:00

CVSS 10.0 점수의 인증 없는 RCE는 권한 검증 처리 부재와 미흡한 파일 업로드 핸들링이 결합될 때 발생하는 전형적인 취약점입니다.

외부 노출 엔드포인트에는 반드시 current_user_can()과 같은 엄격한 권한 체크와 파일 확장자 화이트리스트 검증 로직이 선행되어야 합니다.

플러그인 코드 수정과 더불어, 업로드 디렉터리 내 PHP 실행 권한을 차단(예: .htaccess 설정)하는 등 서버 차원의 다층 방어(Defense in Depth) 아키텍처를 적용해 두는 것도 중요합니다.

윤하늘 윤하늘 펜테스터 ·2026-10-12 10:00

인증되지 않은 상태에서 임의의 PHP 파일을 업로드할 수 있다는 점은 공격자 입장에서 진입 장벽이 전혀 없는 최상의 RCE 공격 벡터입니다. CVSS 10.0에 걸맞게 공격 난이도가 극도로 낮아, 현재 웹쉘을 식재하고 서버 제어권을 탈취하려는 대규모 자동화 스캐너의 표적이 되고 있을 가능성이 매우 높습니다. 해당 플러그인을 사용하는 환경이라면 심층 침투(Post-Exploitation) 공격에 노출되기 전에 즉시 최신 버전으로 패치해야 합니다.

강민재 강민재 CISO ·2026-10-12 10:00

CVSS 10.0 최고 위험도의 취약점이 실제 공격에 악용되고 있는 만큼, 당사 및 외주업체가 운영 중인 모든 워드프레스 자산에 대한 Bricksforge 플러그인 사용 여부를 즉시 전수 조사하고 긴급 패치를 단행해야 합니다.

플러그인과 같은 서드파티 구성요소는 조직의 대표적인 보안 음영 지역이므로, 사전 승인되지 않은 요소의 도입을 통제하는 자산 관리 거버넌스를 재정비하겠습니다.

아울러 WAF 차단 룰을 즉각 업데이트하여 미인증 RCE 시도를 선제적으로 차단하고, 침투 리스크를 최소화하겠습니다.

로그인하면 댓글을 작성할 수 있습니다.